{"check":null,"uid":"ee0f38b82f0d959c","title":"Kerepesi közterületi térfigyelő rendszer adatkezelése","title_generated":false,"country":"Венгрия","organ":"Орган по защите данных Венгрии (NAIH)","kind":"case","kind_name":"Судебная практика","lang":"hu","date":"2023-01-01","summary":"Регулятор установил, что мэрия города Кереше нарушила принципы целевого использования и подотчётности при обработке видеозаписей с уличных камер, а также требования к прозрачности, безопасности и логированию доступа. Власти запретили продолжение незаконной практики, обязали опубликовать решение вместе с идентификатором оператора и назначили штраф в 8 млн форинтов за нарушения Закона CXII/2011 об информации и свободе информации. Решение публично; обжалование — в течение 30 дней в Столичный суд.","snippet":"","topics":["Персональные данные"],"status":"ok","error":"","text_len":145920,"versions":2,"url":"https://naih.hu/hatarozatok-vegzesek?download=906:kerepesi-kozteruleti-terfigyelo-rendszer-adatkezelese","first_seen":"2026-09-07","last_checked":"2026-09-17 02:23","relevance":"hit","score":275,"query":"","source_key":"naih_hu","verdict":{"relevance":"hit","score":275,"topics":["Персональные данные"],"need_body":8,"authorities":[{"kind":"орган","name":"Nemzeti Adatvédelmi és Információszabadság Hatóság","topic":"Персональные данные"},{"kind":"орган","name":"NAIH","topic":"Персональные данные"},{"kind":"акт","name":"információs önrendelkezési jogról","topic":"Персональные данные"}],"evidence":[{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":41,"ctx":"kerepesi közterületi térfigyelő rendszer adatkezelése регулятор установил, что мэрия города кереше нарушила принципы целевого использования и п","zone":"название","weight":3},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":128,"ctx":"…  ügyszám: előzmény:  naih-507-32/2023. naih-7398/2022.  tárgy: döntés hivatalból indult adatvédelmi hatósági eljárásban ügyintéző: […]  határozat  ## a nemzeti adatvédelmi és információszab","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":200,"ctx":"hivatalból indult adatvédelmi hatósági eljárásban ügyintéző: […]  határozat  ## a nemzeti adatvédelmi és információszabadság hatóság (a továbbiakban: hatóság) a kerepesi  ## polgármesteri hiv","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":487,"ctx":"es város területén működő közterületi térfigyelő rendszer kamerafelvételeivel kapcsolatos adatkezelés jogszerűsége tárgyában 2022. szeptember 14. napján hivatalból indított adatvédelmi hatósá","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatvédel","weak":false,"pos":570,"ctx":"olatos adatkezelés jogszerűsége tárgyában 2022. szeptember 14. napján hivatalból indított adatvédelmi hatósági eljárásban  1. megállapítja, hogy ügyfél megsértette  1.1. az információs önrend","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":820,"ctx":"i cxii. törvény (a továbbiakban: infotv.) 4. § (1)-(2) bekezdésében foglalt célhoz kötött adatkezelés elvét és az infotv. 23.§ (2) bekezdésében foglalt elszámoltathatóság elvét, továbbá az in","zone":"текст","weight":1},{"topic":"Персональные данные","term":"adatkezel","weak":false,"pos":1490,"ctx":"25/k. § (1) bekezdését; 2. ezért megtiltja a jelen határozatban megállapított jogellenes adatkezelési gyakorlat folytatását;  ## 3. továbbá a fenti jogsértések miatt  ## 8.000.000.-ft, azaz n","zone":"текст","weight":1},{"topic":"Персональные данные","term":"Nemzeti Adatvédelmi és Információszabadság Hatóság","weak":false,"pos":745,"ctx":"Döntés hivatalból indult adatvédelmi hatósági eljárásban Ügyintéző: […]  HATÁROZAT  ## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Kerepesi  ## Polgármesteri Hivatal (székhely: 2144 Kerepes, V","zone":"орган","weight":3},{"topic":"Персональные данные","term":"NAIH","weak":false,"pos":614,"ctx":"ние 30 дней в Столичный суд. ………………………………………………………………………………………………………  Ügyszám: Előzmény:  NAIH-507-32/2023. NAIH-7398/2022.  Tárgy: Döntés hivatalból indult adatvédelmi hatósági eljárá","zone":"орган","weight":0},{"topic":"Персональные данные","term":"információs önrendelkezési jogról","weak":false,"pos":1206,"ctx":"dított adatvédelmi hatósági eljárásban  1. megállapítja, hogy Ügyfél megsértette  1.1. az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 4. §","zone":"акт","weight":0}],"dropped":[{"topic":"Интеллектуальная собственность в цифровой среде","term":"szerző jog","weak":false,"pos":48007,"ctx":"re irányult 2016. július 1-i határidővel. a falcon-pool kft. rögzítette, hogy már nem áll szerződéses jogviszonyban az önkormányzattal, illetve az ügyféllel, a rendszer üzemeltetésével más céget bíztak meg","why":"одиночное упоминание (нужно 8)"},{"topic":"Интеллектуальная собственность в цифровой среде","term":"szerző jog","weak":false,"pos":48828,"ctx":"ttaknak volt hozzáférése a rendszerhez, amíg a falcon-pool kft. és az önkormányzat között szerződéses jogviszony állt fenn. (28) ügyfél 2023. február 20. napján – miután a válaszadásra határidő hosszabb","why":"одиночное упоминание (нужно 8)"},{"topic":"Интеллектуальная собственность в цифровой среде","term":"szerző jog","weak":false,"pos":67790,"ctx":"apján megjelenő új követelmény. döntés: nem felelt meg. 3.1.6.6. az érintett szervezettel szerződéses jogviszonyban álló (külső) szervezetre vonatkozó követelmények értékelés: az ibsz tartalmazza az érinte","why":"одиночное упоминание (нужно 8)"},{"topic":"Телеком и инфраструктура","term":"hírközlés","weak":true,"pos":109469,"ctx":"kormányzati célú hálózaton, továbbá a publikus internet felületen zajló, az elektronikus hírközlési törvény szerinti szolgáltató igénybevételével vagy egyéb információs társadalommal összef","why":"одиночное упоминание (нужно 8)"},{"topic":"Телеком и инфраструктура","term":"hírközlés","weak":true,"pos":112831,"ctx":"esetköröket, amikor jogszabály által kijelölt központosított informatikai és elektronikus hírközlési szolgáltatót, illetve központi adatkezelőt és adatfeldolgozó szolgáltatót kell a szerveze","why":"одиночное упоминание (нужно 8)"},{"topic":"Криптоактивы и блокчейн","term":"kripto","weak":true,"pos":109624,"ctx":"éb információs társadalommal összefüggő szolgáltatásaik igénybevétele során a hagyományos kriptográfiai alkalmazáson felüli biztonságot nyújtó poszt-kvantum titkosítási alkalmazással történő zá","why":"одиночное упоминание (нужно 8)"}]},"last_changed":"2026-09-17","meta":{"fileId":"906","slug":"kerepesi-kozteruleti-terfigyelo-rendszer-adatkezelese","case":"NAIH-507-32/2023"},"source_url":"https://naih.hu/hatarozatok-vegzesek?download=906:kerepesi-kozteruleti-terfigyelo-rendszer-adatkezelese","text":"………………………………………………………………………………………………………\n\nÜgyszám: Előzmény:\n\nNAIH-507-32/2023. NAIH-7398/2022.\n\nTárgy: Döntés hivatalból indult adatvédelmi hatósági eljárásban Ügyintéző: […]\n\nHATÁROZAT\n\n## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Kerepesi\n\n## Polgármesteri Hivatal (székhely: 2144 Kerepes, Vörösmarty utca 2., a továbbiakban: Ügyfél)\n\nvonatkozásában, Kerepes város területén működő közterületi térfigyelő rendszer kamerafelvételeivel kapcsolatos adatkezelés jogszerűsége tárgyában 2022. szeptember 14. napján hivatalból indított adatvédelmi hatósági eljárásban\n\n1. megállapítja, hogy Ügyfél megsértette\n\n1.1. az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 4. § (1)-(2) bekezdésében foglalt célhoz kötött adatkezelés elvét és az Infotv. 23.§ (2) bekezdésében foglalt elszámoltathatóság elvét, továbbá az Infotv. 5. § (1) bekezdését; 1.2. az Infotv. 25/A.§ (1) bekezdését, valamint a (2) bekezdés a) és b) pontjait; továbbá az Infotv. 25/I. § (1) bekezdését, valamint a (3) bekezdés a), b), c) pontjában foglalt adatbiztonsági intézkedési kötelezettségeket; 1.3. az Infotv. 25/E. §. (1) bekezdés j) és k) pontjaiban foglaltakat, a 25/E. § (3) bekezdését, továbbá az Infotv. 25/F § (1) bekezdés a)-e) pontjaiban foglaltakat és a (4) bekezdését; 1.4. az Infotv. 25/J § (1) bekezdését és a 25/K. § (1) bekezdését; 2. ezért megtiltja a jelen határozatban megállapított jogellenes adatkezelési gyakorlat folytatását;\n\n## 3. továbbá a fenti jogsértések miatt\n\n## 8.000.000.-Ft, azaz nyolcmillió forint adatvédelmi bírság\n\nmegfizetésére kötelezi Ügyfelet.\n\n## 4. A Hatóság elrendeli a végleges határozatnak az adatkezelő azonosító adatainak közzétételével\n\ntörténő nyilvánosságra hozatalát. A bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártától számított 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-507/2023. BÍRS. számra kell hivatkozni. Amennyiben Ügyfél a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A késedelmi pótlékot a Hatóság központosított bevételek beszedési célelszámolási forintszámlája (10032000-01040425-\n\n00000000 Központosított beszedési számla) javára kell megfizetni. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi. Az adatvédelmi hatósági eljárás során mindösszesen 2127,-Ft, azaz kettőezer-százhuszonhét forint eljárási költség merült fel, melyet a Hatóság visel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügyirataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, azaz harmincezer forint a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.\n\n## INDOKOLÁS\n\n## I. Előzmény ügy: NAIH-3266/2022. (NAIH-215/2021. és NAIH/2020/5714) számú vizsgálati eljárás\n\n(1) Bejelentés érkezett a Hatósághoz Kerepes Város (a továbbiakban: Város) polgármesterének (a továbbiakban: Polgármester) azon tevékenységével összefüggésben, hogy 2020. június 16. napján a Facebook közösségi oldalon nyilvános posztban – ahhoz fűzött megjegyzéssel – egy képet tett közzé a Város közterületén hulladékot elhelyező – a poszt szerint – Budapest XIII. kerületi lakosról és az általa használt személygépjárműről azzal, hogy az ügyben rendőrségi feljelentésre is sor került. A bejelentés rögzíti, hogy a Polgármester Facebook posztját többen is – így a ”Szervusz” elnevezésű profil is – megosztották a közösségi oldalon. A bejelentés szerint a Város területén elhelyezett ”16-20 darab” kamera környezetében nem mindenhol van kihelyezve figyelmeztetés arról, hogy képfelvétel készül, illetve bizonyos kamerák esetében a figyelmeztetéseket, illetve a kamerákat növényzet takarja el, így a felvétel készítéséről az érintettek nem feltétlen bírhatnak tudomással. A bejelentő szerint továbbá a Város önkormányzatának honlapján nincs feltüntetve, hogy hol kerültek felszerelésre a térfigyelő kamerák. (2) A Hatóság az Infotv. 38. § (3) bekezdés a) pontja alapján az ügyben vizsgálatot indított\n\nNAIH/2020/5714. számon, Kerepes Város közterületén az önkormányzat által telepített térfigyelő rendszer adatkezelésének jogszerűsége tárgyában, melyet NAIH-3266/2022. számon zárt le. A Hatóság a tényállás tisztázása céljából az Infotv. 54. § (1) bekezdés a) és c) pontja alapján több alkalommal is megkeresést intézett Ügyfél mint adatkezelő felé, melynek nevében a 2020. december 1. napjával kinevezett jegyző válaszolt. (3) A válasz szerint a Város közigazgatási területén elhelyezett közterület térfigyelő-rendszer kamerái a\n\nVáros Önkormányzata Képviselő-testületének döntése – 118/2015. (V. 26.) Kt. határozat – alapján kerültek kihelyezésre. A térfigyelő-rendszer üzemeltetését a Képviselő-testület 19/2016. (IX. 30.) önkormányzati rendelete és a Kerepesi Polgármesteri hivatal Közterületi Térfigyelő Rendszerének Adatvédelmi, Üzemeltetési és Adatbiztonsági Szabályzata (a továbbiakban: Szabályzat) szabályozza. Ügyfél cáfolta, hogy a közterületi kamerák környezetében nem mindenhol van figyelmeztető jelzés elhelyezve a kamerafelvétel vonatkozásában, illetve, hogy azt helyenként növényzet takarja; mindezt fényképfelvételekkel is alátámasztotta. Válaszában rögzítette azt is, hogy a Város honlapján feltüntetésre került, hogy a kamerák hol vannak felszerelve; mindez igazolható volt a Város honlapjának megtekintése során. Az Ügyfél válasza szerint a térfigyelő-rendszer felvételeit egy zárt hálózaton tárolják, az intézkedést igénylő felvételeket pedig egy külön meghajtón; a zárt hálózathoz kizárólag a közterület-felügyelők férhetnek hozzá, míg a külön meghajtón tárolt, “intézkedést igénylő“ felvételekhez a közterület-felügyelők, a műszaki osztályvezető, a jegyző és a Polgármester. A nyilatkozat szerint Polgármester a helyben kialakult szokások miatt, feljelentés tétele céljából fér hozzá a felvételhez a közterület-felügyelők által, a feljelentéshez használt felvétel erejéig az erre elkülönített, jogosultsággal elérhető meghajtón keresztül; mindennek jogalapjaként a Város jogos érdekét, a jogellenes károkozás elleni fellépést és a bűncselekmények feljelentését jelölték meg. A vizsgálat tárgyát képező felvétellel kapcsolatban Ügyfél előadta, hogy az eredeti szándék szerint a Polgármester tett volna feljelentést, emiatt ismerte meg a felvételt, továbbá a Város jogos érdekeinek védelme és prevenció céljából tette közzé a személyiségi jogot nem sértő homályos felvételt. A polgármesteren kívül a közterület-felügyelők használták fel a felvételt a rendőrségi feljelentés megtétele céljából. Ügyfél nyilatkozata szerint a Polgármester “hallomásból“ szerzett tudomást az érintett lakóhelyéről.\n\n## Ügyfél rögzítette, hogy a vizsgálat tárgyát képező felvétel kimentése nem került naplózásra, annak\n\nellenére, hogy a Szabályzat e kötelezettséget tartalmazza. 2020. december 1. napja óta a felvételek naplózására a Szabályzat szerinti módon került sor. A Szabályzat 14.4. pontja a kimentések manuális naplózását írja elő. Ugyanakkor a 14.3. pontja szerint a visszaellenőrzés és kimentés személyre szóló kóddal lehetséges, melyet belépéskor a szerver naplóz a memóriájában. A jegyző tudomása szerint a facebook.com közösségi oldalon közzétett kép megszerkesztésre került az eredeti felvételhez képest, homályos és kis felbontású, így – álláspontja szerint – az nem alkalmas az érintett azonosítására. Az Ügyfél válasza szerint az eljáró közterület-felügyelők a felvétel alapján állapították meg a felvételen szereplő személygépkocsi rendszáma karaktereinek egy részét, a többi, homályos karaktert pedig az integrált portál alapú lekérdező rendszerből “próbálgatással“ azonosították és ezen adatokkal tettek feljelentést. Az Ügyfél válasza szerint a vizsgálat tárgyát képező képfelvétel a facebook.com internetes oldalon már nem található meg, az azóta törlésre került. (4) Az Ügyfél tájékoztatása szerint 2021. március 1. napjától a Polgármesteri hivatal adatvédelmi tisztviselői feladatok ellátásával bízott meg egy szakjogászt, akinek a bevonásával új szabályzat került kidolgozásra a térfigyelő kamerák működését érintően. Továbbá arra vonatkozóan nem rendelkeznek információval, hogy a “Szervusz“ facebook oldalnak ki az adminisztrátora, álláspontjuk szerint az oldal polgármesteri hivatali dolgozóhoz nem köthető. A Hatóság a NAIH-215-4/2021. számú 2021. május 4. napján kelt átiratával felhívta Ügyfelet, hogy küldje meg ezen új szabályzatot, melynek során fordítson különös figyelmet – egyebek mellett – a naplózási eljárásra és az adatbiztonsági intézkedések kialakítására. (5) Az Ügyfél megküldte a Hatóság vizsgálatára tekintettel kidolgozott, azonban még nem hatályosított új\n\nAdatvédelmi, adatkezelési és adatbiztonsági szabályzatot (a továbbiakban: Új szabályzat). A Hatóság az Új szabályzatot áttekintette és azzal kapcsolatban az Infotv. 56. §-a alapján felhívta Ügyfelet, hogy tegyen további intézkedéseket, kiigazításokat illetve – egyet nem értése esetén álláspontjáról tájékoztassa a Hatóságot. A Hatóság mindezért a vizsgálati eljárás keretében 2022. február 23. napján NAIH-3266-1/2022. számon felszólítást intézett Ügyfélhez, mellyel az Új szabályzatban az adatkezelő személyének helyes megállapítására, az online megfigyelésekkel kapcsolatos ellentmondó rendelkezések pontosítására hívta fel Ügyfelet, továbbá felhívta a figyelmet annak a követelménynek betartására, hogy az adatokat arra jogosulatlan személyek ne ismerhessék meg, valamint arra, hogy jogszerű cél hiányában ne kezeljen személyes adatot. Ügyfél – bár a 2022. április 12. napján kelt 2. alszámú válaszában utalt arra, hogy intézkedéseket tesz – a Hatóság felszólításában foglaltaknak megfelelően átalakított szabályzatot nem küldött, az abban foglaltaknak nem tett eleget, így – a rendelkezésre álló adatok szerint – továbbra is jogsértő állapot állt fenn a közterületi kamerarendszer üzemeltetésével, illetve a felvételeinek felhasználásával kapcsolatban. A 2023. november 6.-i időállapot szerint a Város honlapján https://www.kerepes.hu/szab%C3%A1lyzatok-0 – 2021. november 10.-i állapotában szerepel az Új szabályzat, holott annak módosítására 2022. április 12. napján Ügyfél jegyzője – haladéktalanság mellett – nyilatkozatot tett. (6) Ezt követően a Hatóság sajtóhírekből értesült arról, hogy a Polgármester 2022. augusztus 18. napján a facebook.com közösségi oldalon – térfigyelő kamera által 2022. augusztus 15. napján rögzített videofelvételt tett közzé egy személyről, aki a szilasligeti HÉV megállóban önkielégítést végzett, és amely cselekmény miatt a rendőrség büntetőeljárást indított korábban. (https://24.hu/belfold/2022/08/18/kerepes-hev-megallo-maszturbalo-ferfi-video-polgarmester/; https://hirtv.hu/ahirtvkekhirei/elfogta-a-rendorseg-a-kerepesi-recskafantomot-2552182; https://www.szeretlekmagyarorszag.hu/kekhirek/letelt-az-ultimatum-nyilvanossagra-hoztak-aszilasligetnel-maszturbalo-ferfi-videojat/ )\n\nA Polgármester e videofelvétel közzétételét megelőzően, a facebook.com oldalon közzétett és általa tett felhívás szerint arra próbálta rábírni az elkövetőt, hogy önként jelentkezzen a Rendőrségnél, különben közzéteszi a felvételt. E felhívásában szó szerint az alábbiakat közölte: „Édes egy komám, ha a térfigyelő alatt pergeted a mézet, a következőt kockáztatod: ha két napon belül nem jelentkezel a rendőrségen, akkor felkerül az internetre a kézimunkádról a full-HD felvétel”. (https://mandiner.hu/video/2022/08/kerepes-hev-maszturbalas-video-ferfi-jelentkezes-full-hd-pergetia-mezet; https://telex.hu/belfold/2022/08/17/maszturbalas-onkielegites-kerepes-hev-polgarmester) (7) A vizsgálati eljárásban beszerzett adatok alapján megállapítható volt, hogy a közterületi térfigyelő rendszerről szóló Kerepes Város Önkormányzat Képviselő-testületének 19/2016. (IX. 30.) önkormányzati rendelete 4. § (1) bekezdése szerint az önkormányzat a közterületi térfigyelő rendszer kezelésével az Ügyfél közterület-felügyeletét bízta meg. (8) Az a tény, hogy a Polgármester a térfigyelő kamerarendszer felvételeivel rendelkezik, alátámasztotta a Hatóság (5) bekezdésben rögzített megállapítását, mert a közterületi kamerák felvételeinek kezelését érintő, továbbra is fennálló jogsérelmet feltételezett. Mindezekre figyelemmel az Ügyfél közterületi térfigyelő rendszerrel megvalósuló adatkezelésének jogszerűsége tárgyában folytatott vizsgálati eljárást a Hatóság lezárta és e tárgyban megindította jelen adatvédelmi hatósági eljárást.\n\n## II. Az adatvédelmi hatósági eljárás\n\n(9) Az adatvédelmi hatósági eljárás során a Hatóság 2022. szeptember 14. napján – az eljárási cselekmény eredményességének érdekében előzetes értesítés mellőzésével – szemlét tartott az Ügyfél 2144 Kerepes, Vörösmarty utca 2. szám alatti székhelyén. A Hatóság képviselői felvették a kapcsolatot Ügyfél jegyzőjével (a továbbiakban: Jegyző), akit tájékoztattak az adatvédelmi hatósági eljárás megindulásának, valamint az előzetes értesítés nélküli szemlének a tényéről. A Hatóság képviselői a szemlét – a Jegyzővel történt kapcsolatfelvételt követően – a közterületfelügyelet irodájának, helyiségének megtekintésével folytatták. A Hatóság eljáró tagjai a közterületfelügyelet irodájának épületéről fényképfelvételeket készítettek. Az itt jelen lévő […] közterület-felügyelő először megmutatta a kamerarendszerhez tartozó szervert és tájékoztatta a Hatóság képviselőit a közterület-felügyelet személyi állományáról. A Hatóság eljáró tagjai rögzítették, hogy a kamerarendszer és a szerver helyéül szolgáló épület egy kulcsra zárható ajtóval van védve és az elektronikus biztonsági rendszer ki van kapcsolva. A helyiségben található a megfigyelőállomás, és annak monitorai. E teremből nyíló helyiség irodaként funkcionál és e mögött a helyiség mögött található a szerver.\n\n## A Hatóság képviselői megállapították, hogy a kameraképek rögzítésére szolgáló eszköz:\n\n## HIKVISION Network Video Recorder (a továbbiakban: NVR), típusa: DS-9332NI-I8, egyedi\n\nazonosítója: 647195880, amelyet fényképfelvételekkel is rögzítettek. Ezt követően […] a Hatóság képviselőinek bemutatta a kamerarendszer működését. A közterületfelügyelő jelkóddal, admin felhasználóként lépett be; kérdésre előadta, hogy a kamerarendszerhez nincs több felhasználói fiók. Ezt követően a monitoron megjelentek az egyes élő képet közvetítő kameraképek. A 32 csatornás rögzítőn 14 kamerakép volt látható. Hatóság eljáró tagjai minderről fényképfelvételeket készítettek. 14 működő kameraképből 5 darab a HÉV kameraképeit közvetítette.\n\n## A Hatóság részéről eljáró informatikusok megállapították, hogy a rendszer távoli elérést biztosít\n\n## (Quick Connect), továbbá, hogy az 5589 GB háttértár teljes kihasználtság alatt áll, ekkora méretű felvétel van helyileg mentve, a korábbi mentett fájlok folyamatosan felülírásra kerülnek. Az utolsó elérhető felvétel 2022. augusztus 28. napján készült. A kamerarendszer úgy volt beállítva, hogy az a nap 24 órájában közvetít képet. A Hatóság eljáró tagja fényképfelvétellel dokumentálta a\n\nmunkaállomást. […] közterület-felügyelő felvilágosítást nyújtott a kamerarendszerrel összefüggésben, amely során előadta, hogy a megfigyelésben korábban közreműködő rendőrök milyen módon fértek hozzá a kamerarendszerhez. Kérdésre előadta, hogy a munkavégzése vonatkozásában az utasításokat a Jegyzőtől kapja.\n\n## A Hatóság fényképfelvételeket készített a kamerafelvételek mentését és továbbítását\n\ndokumentáló iratról. A Hatóság informatikus képviselői elvégezték az NVR-ről a konfigurációs beállítások, továbbá a képfelvételekkel összefüggő adatkezelési tevékenységekre (mentés, visszanézés, belépés) vonatkozó naplóállomány kimentését.\n\n## A közterület-felügyelő felvilágosítást nyújtott arról is, hogy a helyiségbe történő belépésről nyilvántartást nem vezetnek, továbbá előadta, hogy kulccsal ő, valamint a segédfelügyelő\n\nrendelkezik; további kulcs létezéséről nem tud érdemben nyilatkozni. A közterület-felügyelő a kamerarendszerhez való hozzáférés tekintetében arról tájékoztatta a Hatóság képviselőit, hogy a jelkódot ő, a segédfelügyelő és a korábbi közterület-felügyelő ismeri. Előadta továbbá, hogy folyamatos élő képmegfigyelést nem végez, feladatát hivatali időben látja el. (10)\n\n## A Hatóság […] közterület-felügyelő tanúkénti meghallgatását foganatosította a szemle keretében:\n\nA tanú előadta, hogy […] a segédfelügyelő, aki korábban is ott dolgozott már, azonban ő a kamerafelvételekhez nem fér hozzá. […] közterület-felügyelő rögzítette, hogy nincs helyettese, a kamerafelvételeket ő tudja megtekinteni; amennyiben a rendőrség felvételt kíván lefoglalni, úgy őt keresik meg. Amennyiben sürgős intézkedésre van szükség a kamerafelvételekkel kapcsolatban és ő nem dolgozna, úgy a Jegyző intézkedhetne. Elmondta, hogy szervezetileg a Műszaki osztályhoz tartozik, de a gyakorlatban Jegyzőtől kap napi feladatokat, az ő közvetlen irányítása alatt áll. Elmondta, hogy nem tudja felsorolni, hogy hány közterületi kamera van a Város területén felszerelve, talán 16-18 darab lehet; tudomása szerint ebben benne vannak a HÉV kamerái is, mindösszesen kb. 5 darab kamera. Elmondta, hogy e kamerák képeit is megtekintheti, egyazon monitoron a Város kameráival együtt. Elmondta, hogy 2022. augusztusában a sajtóban is megjelent esettel kapcsolatban – egy férfi önkielégítést végzett a HÉV megállóban – a rendőrség kamerafelvételt foglalt le. Az eljáró rendőrök egy pendrive-ra mentették ki a felvételt; ezen felvételt […] közterület-felügyelő nem mentette le, illetve nem is adta át másnak. Tudomása szerint a Polgármester nem járt a Közterület-felügyelői irodában; továbbá kijelentette, hogy a részére nem adta át ezt a felvételt, a Polgármester pedig nem kérte ezt tőle. Előadta, hogy hallott róla, hogy a Polgármester a facebook-on közzétette a felvételt, amit jelzett is a Jegyzőnek. Nem tudott nyilatkozni arról, hogy hogyan juthatott a felvételhez a Polgármester. Az esettel kapcsolatban azt tudta felidézni, hogy lakossági bejelentés érkezett a közterület-felügyelet szolgálati telefonjára, hogy egy férfi önkielégítést végzett a HÉV megállóban. A hívást nem ő, hanem a segédfelügyelő fogadta. Emlékei szerint felgyorsultak aznap az események, kimentek a helyszínre és próbáltak az elkövető nyomára akadni; a nap folyamán visszatért az irodába és visszanézte a kamerafelvételt, amit a HÉV kamerája rögzített, majd a nap folyamán a rendőrség jelezte, hogy lefoglalná azt, így lementette a felvételt. Elmondta, hogy aznap nem jelentek meg a rendőrök, csak másnap délután és egy pendrive-ra másolta át a felvételt, melyet közvetlenül a rendőröknek adott át lefoglalási határozat ellenében. Hozzátette, hogy a pendrive-ot az Ügyfél biztosította a protokoll szerint.\n\n## Elmondta, hogy a pendrive amire a felvételt kimásolta a szerver gépben volt a rendőrök megérkezéséig, azt ő nem vette ki onnan. A Jegyző semmilyen utasítást nem adott az esettel\n\nkapcsolatban; a polgármesteri posztról a facebook-ról értesült állítása szerint. Kérdésre elmondta, hogy a Közterület-felügyelet irodájába csak kulccsal lehet bemenni, az pedig nála van, amikor nem tartózkodik az irodában. […] segédfelügyelőnek szintén van kulcsa, de ő aznap nem volt már az irodában. Kérdésre elmondta, hogy külön adatvédelmi képzésben valószínűleg részesült és megismerte az adatvédelmi szabályzatot, illetve az információbiztonsági szabályzatot amint munkába állt Ügyfélnél. […] közterület-felügyelő kérdésre rögzítette, hogy soha nem kapott az Ügyfél részéről olyan utasítást, hogy felvételt mentsen le. Előadta kérdésre, hogy az Ügyfél – közterületi kamerafelvételek alapján történő – feljelentési gyakorlatát nem ismeri.\n\nElmondta, hogy jogosultsága van a Rendőrség szabálysértési nyilvántartásához, illetve a személyiadat- és lakcímnyilvántartás megtekintéséhez, azonban mindez korlátozott, illetve a közúti közlekedési nyilvántartáshoz van bizonyos hozzáférése. E jogosultság keretein belül meg tudja tekinteni a gépjármű tulajdonosának nevét a gépjármű forgalmi rendszáma alapján és a műszaki adatokat, illetve ha a tulajdonos megadta, akkor az illető telefonszámát is. Ezen rendszereket a gyakorlatban még nem használta, nem volt rá még szükség.\n\nKérdésre elmondta, hogy rajta és […] segédfelügyelőn kívül más személy – felügyeletük nélkül – nem tartózkodhat a Közterület-felügyelet irodájában. Ha valaki hivatalos ügyben érkezik, akkor úgy engedik be, hogy kikapcsolják a közterületi kamerafelvételeket megtekintésére szolgáló monitort. Kérdésre elmondta, hogy tudomása szerint 30 napig tárolja a felvételeket a rendszer, utána törlődnek, mivel azok felülíródnak. Közbevetett kérdésre elmondta, hogy nem ismert előtte a térfigyelő rendszerhez tartozó admin jelszó; illetve az, hogy különböző jogosultsági szintek lennének beállítva a kamerarendszerhez; egyedül ő jogosult használni a térfigyelő kamerarendszert; a segédfelügyelő csak jelen lehet. Gyakorlatban élőkép megfigyelése nem történik. Kérdésre elmondta, hogy egyrészt a városi kamerákat, másrészt a HÉV kamerák képét figyeli és nem tud arról, hogy a HÉV kamerák esetében bármi megszorítás lenne a tekintetben, hogy milyen műveletet végezhet. Elmondta, hogy úgy tudja, hogy van a város és a MÁV-HÉV Zrt. között egy megállapodás, ami alapján a felvételeket kezeli.\n\nKérdésre elmondta, hogy nincs tudomása arról, hogy bárhol máshol elérik a közterületi kamerafelvételeket; és arról sincs, hogy a Polgármester facebook oldalát ki kezeli. Soha nem kapott olyan utasítást, hogy bármilyen – a közhiteles nyilvántartásokból történő – lekérdezést kell végrehajtson. Állítása szerint nem volt ismert előtte, hogy az egyik HÉV kamera hangot is rögzít. A tanú bemutatta a PMRFK Gödöllői Rendőrkapitányság 13040/2014/2022. bü. számú határozatát a 2022. augusztus 15-én készült felvétel lefoglalásának elrendeléséről, melyről a Hatóság eljáró tagja fényképfelvételt készített. (11)\n\n## A Hatóság megállapította, hogy jogosultság nyilvántartást és az adatkezelői nyilvántartást a szemle során senki sem volt képes bemutatni, és a nyilatkozatok alapján\n\nsenkinek sem volt azokról tudomása. (12)\n\n## A Hatóság a Jegyző szemle keretében történő nyilatkoztatását foganatosította:\n\nA Jegyző nem tudott nyilatkozni a tekintetben, hogy az Ügyfél által üzemeltetett kamerarendszerre vonatkozóan melyik a hatályos szabályzat. Ügyfél honlapjának kezelésével kapcsolatban előadta, hogy a technikai feladatokat adminisztratív munkatársak, […] az Önkormányzat munkatársa és […] az Ügyfél munkatársa látja el. A Jegyzőnek nem volt arról tudomása, hogy – a szemle időpontjában – két eltérő tartalmú és keltű kamera szabályzat volt a Város honlapján közzétéve. A közterület-felügyelő alkalmazását megelőző képzéssel kapcsolatban elmondta, hogy a szokást nem ismeri, az általános képzettség meglétét ellenőrzik, illetve azt, hogy rendőrségi engedéllyel rendelkezik-e. Kérdésre elmondta, hogy külön adatvédelmi képzést nem tartanak a munkatársaknak, lehet, hogy írásbeli tájékoztatást adnak számukra, azonban annak tartalmát nem ismeri. Ügyfél adatvédelmi tisztviselőjeként […]-t, a Hátadat szakértői iroda munkatársát jelölte meg, azonban arról nem tudott nyilatkozni, hogy mióta látja el az adatvédelmi tisztviselő a feladatait; illetve arról sem tudott nyilatkozni, hogy az adatvédelmi tisztviselő bejelentése megtörtént-e a Hatóság felé. A Jegyző nem tudott nyilatkozni a tekintetben sem, hogy mennyi ideig őrzik meg a közterületi kamerarendszer által rögzített felvételeket és nem volt előtte ismert a kamerafelvételek lefoglalására vonatkozó eljárásrend. Arra vonatkozóan sem tudott nyilatkozni, hogy a Polgármester jogosult-e hozzáférni a közterületi kamerarendszer felvételeihez. A Jegyző kérdésre előadta, hogy 2022. augusztus 15. napjától látja el feladatait. A Jegyző telefonon egyeztetett az adatvédelmi tisztviselővel, azonban az adatvédelmi tisztviselő vidéken tartózkodott, nem tudott személyesen részt venni a szemlén. A Jegyzőnek nem volt tudomása arról, hogy a Facebook közösségi oldalon található „Szervusz” oldalnak és a polgármesteri Facebook profilnak ki az adatkezelője. Nem tudott arról sem nyilatkozni, hogy van-e szerkesztési feladata az Ügyfélnek vagy munkatársainak a polgármesteri Facebook profil tartalomfeltöltése kapcsán. A Jegyző nem tudott arról, hogy érintetti joggyakorlásra sor került-e, a közterületi kamerarendszer kapcsán megjegyezte, hogy amennyiben másolatot kérne valaki a kamerák által rögzített felvételekről, úgy azt megtagadná, azt kizárólag hatóság részére adná ki. Nem tudott arról sem nyilatkozni, hogy van-e olyan közös meghajtó vagy pendrive az Ügyfél rendszerében, ahová a kamera felvételek kimentésre kerültek. Jegyző kérdésre előadta, hogy a MÁV-HÉV Zrt. felé arra tett javaslatot Ügyfél, hogy szakértői szinten kerüljön a MÁV-HÉV Zrt. kamerái által rögzített képfelvételek kezelésének kérdése megvitatásra, vagyis Ügyfél adatvédelmi tisztviselőjével alakítsák ki a MÁV-HÉV Zrt. szakértői a megfelelő kereteket. Arra a felvetésre, hogy a MÁV-HÉV Zrt. állítása szerint az élőképből az Ügyfél és a MÁV- HÉV Zrt. által kötött Együttműködési megállapodásban foglaltakat megsértve került felvétel kimentésre Jegyző akként nyilatkozott, hogy ez csak a MÁV-HÉV Zrt. állítása és nem tudja ki menthette ki a felvételt; illetve nincs hivatalos tudomása róla, hogy Ügyfél másolatot készített a kérdéses felvételről, az országos médiából értesült az esetről. Jegyző kérdésre úgy nyilatkozott, hogy nincs tudomása arról, hogy érkezett-e olyan bejelentés Ügyfélhez, miszerint bárki felismerte volna az elkövetőt a közzétett képanyag alapján. Jegyző kérdésre előadta, hogy […] mint Kerepes Város Önkormányzatának (a továbbiakban: Önkormányzat) munkatársa és a Polgármester asszisztense nyújt informatikai kérdésekben segítséget Polgármesternek, de ő a szemle időpontjában betegszabadságon volt; illetve rögzítette, hogy a Polgármester is rendelkezik informatikai ismeretekkel. A Jegyző nem tudott arról, hogy egyes kamerafelvételek – a korábbi jegyző nyilatkozata szerint kimentésre kerültek egy meghajtóra, amelyet a Polgármester, és a Műszaki Osztály vezetője is elért. Nem tudott arra vonatkozóan sem nyilatkozni, hogy a kamerarendszer kapcsán ki dönt a figyelmeztető jelzések közterületen történő elhelyezéséről. (13) A beszerzett információkra tekintettel Hatóság munkatársai a szemle során arra kérték a Jegyzőt, hogy jelezze a Polgármesternek, hogy a Hatóság a szemle alkalmával tanúként kívánja meghallgatni.\n\n(14)\n\n## A Hatóság […] (Ügyfél Műszaki Osztályának munkatársa) tanúkénti meghallgatását foganatosította a szemle keretében:\n\nTanú elmondta, hogy ténylegesen sosem látott el a Műszaki és Beruházási Osztály a közterületfelügyelőket, illetve a közterületi kamerarendszert érintő tevékenységet, sem a szabadságok engedélyezéséhez, sem a közterület-felügyelők feladatellátásához kapcsolódó feladata az osztályvezetőnek nem volt.\n\nA tanú elmondása szerint a közterület-felügyelő adott hozzáférést az adatokhoz a korábbi osztályvezetőnek, de a kamerafelvételekhez történő hozzáférésre sosem volt szükség; a korábbi osztályvezető profilja is törölve lett, a hálózati meghajtó jogosultságokat is korlátozták, csak a szervezeti egység munkatársai érik el.\n\nA tanú kérdésre előadta, hogy az osztályvezető sosem rendelkezett irányítási jogkörrel a közterületfelügyelők felett, 2019. évig a mindenkori jegyző, azóta a Polgármester irányítja a közterületfelügyelőket. A tanú elmondta, hogy a Műszaki és Beruházási Osztály nem rendelkezik informatikai feladatokkal, kizárólag Takarnet hozzáféréssel rendelkezik. (15) A Jegyző a szemle során – felhívásra – átadta a Hatóság munkatársainak az alábbi iratokat: - Kerepes Város Önkormányzata és Ügyfél adatvédelmi és adatkezelési szabályzata, a természetes személyek személyes adatainak védelme érdekében (hatályos: 2019.04.09-től)\n\n- Szabályzat elektronikus megfigyelőrendszer (kamerarendszer) üzemeltetésére (hatályos 2019. 03.26-tól)\n\n- Megbízási szerződés adatvédelmi tisztviselő (DPO) feladat ellátására (2021.03.09)\n\n- Megbízási szerződés elektronikus információs rendszerek biztonságáért felelős személy feladatainak ellátására (2015. 01. 31.)\n\n- Átalánydíjas szolgáltatási szerződés Flash-Com Számítástechnikai Kft. és Kerepes Város Önkormányzata között (2019.12.20)\n\n(16)\n\n## A Hatóság munkatársai […] mint az Ügyfél elektronikus információs rendszerek biztonságáért felelős személy (a továbbiakban: IBF) tanúmeghallgatását foganatosították a szemle keretében:\n\nAz IBF-nek nem volt tudomása arról, hogy Ügyfél térfigyelő kamerarendszert működtet, így arra következtetett a meghallgatásakor, hogy az az Önkormányzat kezelésében lehet. Előadta, hogy IBFként részletes felmérést végzett 2015. február 9. napján az Ügyfél rendszereiről; elvégezte továbbá az Ügyfél hivatali rendszereinek kockázat elemzését, az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény (a továbbiakban: Ibtv.) által elvárt védelmi intézkedések kialakítása érdekében cselevési tervet és szabályzatot készített, továbbá egy hardver és szoftver leltárt, melyet a jegyzőnek korábban átadott, aki megtette a szükséges bejelentéseket az illetékes hatóság részére. Készült információ biztonsági szabályzat és ügymenet folytonossági terv. Több alkalommal képezte a felhasználókat dokumentált módon az információbiztonsági tudatossággal kapcsolatosan; online információbiztonság-tudatossági képzést kezdett szervezni, erről tájékoztatta 2022. tavaszán a jegyzőt, de a képzés lebonyolítására meghallgatásának időpontjáig nem került sor. A kijelölt adatvédelmi tisztviselővel együttműködik Ügyfél adatbiztonsági megfelelése érdekében, de az Ügyfél részéről erre az új adatvédelmi tisztviselő kapcsán még nem kapott felkérést. Kérdésre elmondta, hogy az információs rendszerek részletes felmérését 2015. évben végezte el utoljára, akkor még nem volt kamerarendszer, létesítésének folyamatába nem vonták be, noha az az\n\nIbtv. alapján az Ügyfél kötelezettsége lenne; így nem is auditálta a kamerás adatkezeléshez kapcsolódó elektronikus információs rendszert. Arról nem volt meggyőződve, hogy az Ügyfél bármely rendszeréhez csatlakozna a közterületi kamerarendszer, nem látta a kamerás rendszer kialakítását, nincs hozzáférése a hálózathoz, nincs tudomása arról, hogy az integrálva van-e Ügyfél hivatali rendszereihez, véleménye szerint a rendszergazda tudhat erről bővebben. A jogosultságokkal kapcsolatban előadta, hogy helyzetfelmérés történt 2015. évben, amely nem terjedt ki a részletes jogosultság felmérésre, annak naprakészen tartásáért a rendszergazda felel, nem emlékezett, hogy hiányosságot tártak-e fel. A naprakész szoftvernyilvántartással kapcsolatban előadta, hogy a rendszergazda feladata annak vezetése és naprakészen tartása; 2015. évben egyet ő állított össze.\n\n## Elmondta, hogy külső adathordozó, saját pendrive csatlakozása a hivatal gépeihez nincs korlátozva, de a Magyar Államkincstár elvárásai a 4. biztonsági osztályhoz tartozó védelmi\n\nintézkedéseket követelnek meg, így azok kapcsán cselekvési tervet állítottak össze. Nem volt arról tudomása, hogy a közterületi kamerarendszert mely vállalkozás építette ki. (17) A közterület-felügyelő tanúkénti meghallgatását követően a szemle keretében a közterületfelügyelői irodában a Hatóság informatikusai a kamerarendszerből három kamera által rögzített felvételek kimentését végezték el, mely során azt tapasztalták, hogy a HÉV kamerái folyamatosan hangot is rögzítenek. A szemle során az Ügyfél székhelyére megérkeztek a rendszergazdai tevékenységet ellátó társaság – Flash-Com Számítástechnikai Kft. (a továbbiakban: FLASH-COM Kft.) – képviselői. A Hatóság kérésére a FLASH-COM Kft. egyik munkatársa bemutatta az Ügyfél székhelyén, a földszinten található szerverszobát, erről a Hatóság tagjai fényképfelvételeket készítettek. A Hatóság eljáró tagjai – szemrevételezés és a FLASH-COM Kft. munkatársának nyilatkozata alapján megállapították, hogy a közterületi kamerarendszer e helyiségben semmilyen eszközzel és adatátviteli csomóponttal nem rendelkezik. Miután a Hatóság képviselői a Jegyzőtől kérték a közterületi kamerarendszer kiépítésére vonatkozó szerződést, a Hatóság képviselői előtt megjelent az Ügyfél pénzügyi és adóügyi osztályvezetője, […], aki a Hatóság rendelkezésére bocsátotta a Kerepes Város Önkormányzata részére a Nemzetközi Testőr Biztonságszolgálati Kft. által kibocsátott összesen öt darab számla másolati példányát (S2211505, S2211186, S2211118, S2211119, S2210856 sorszámú számlák). A Hatóság a szemle során korábban kérte a Jegyzőtől, hogy értesítse a Polgármestert arról, hogy a Hatóság tanúként kívánja meghallgatni; ezzel összefüggésben a szemle folyamán később feltett kérdésre a Jegyző úgy nyilatkozott, hogy azóta azt a tájékoztatást kapta, hogy a Polgármester a szemle napján nem tud a Hatóság rendelkezésére állni. (18) A szemle során a Hatóság eljáró tagjai a Jegyzővel közölték, hogy szemletárgyként meg kívánják tekinteni a Polgármester irodájában lévő informatikai eszközöket, és ehhez kérték kinyitni az irodát. Jegyző azt nyilatkozta, hogy nem tudja kinyitni az irodát, mivel nincs hozzá kulcsa; az csak a Polgármesternek és a betegszabadságon lévő asszisztensének van. Ezért a szemle eredményesen tovább nem volt folytatható. (19)\n\n## A Hatóság a szemle során tanúként meghallgatta a zárt adatkezelést kérő tanút (Tanú1):\n\nTanú1 a hozzá intézett kérdésekre válaszul elmondta, hogy a FLASH-COM Kft. a Kerepesi Önkormányzat mellett Ügyfélnek is nyújt rendszergazdai szolgáltatást. A Polgármester számítógépe hálózati csatlakozással rendelkezik Windows A D felhasználó kezeléssel. Elmondta, hogy alapesetben nem naplózzák a felhasználó tevékenységét; biztonsági mentés készül a szerveren tárolt állományokról. A szerveren felhasználónként saját virtuális meghajtó és közös meghajtó található; időnként teljes mentés történik, illetve legalább napi változás mentés történik a hálózati meghajtókról. Tanú 1 tudomása szerint a Polgármester Notebook-ot használ, melynek helyi meghajtója is van, erről nem készül biztonsági mentés; továbbá nincs olyan beállítás a tűzfalon, amely bizonyos fájlméretet meghaladó fájl feltöltése esetén jelezne. Tanú1 nem tudott arról nyilatkozni, hogy a közterületi kamera felvételek külön hálózati meghajtóra lennének mentve, azonban ezt kizárni sem tudta. Elmondta, hogy a szemle során nincs lehetőség megnézni, hogy a szerveren vannak-e videó fájlok, ehhez nincs hozzáférése. A Windows belső mentését alkalmazzák és egy hétre visszamenőleg valószínűleg van mentés a fájlstruktúra tekintetében. A Polgármester a Notebook-ját elméletileg jogosult kivinni az épületből, de ezt határozottan nem tudja kijelenteni; továbbá lehetséges az is, hogy VPN eléréssel is rendelkezik. (20) A helyszíni szemle során tapasztaltakról a Hatóság mérnök informatikusa szakvéleményt készített (NAIH-7398-9/2022), mely szerint a Hatóság megállapította, hogy a Hikvision NVR felhasználói felületén látható biztonsági mentési előzmények ablakban a D1-es D13as,D17-es, D18-as és D19-es kamerákról az alábbi biztonsági mentések készültek a szemle során készült mentéseken kívül:\n\n- D19 2022-08-15 11:02:52 - D19 2022-08-15 11:11:48 - D13 2022-08-15 11:21:20 - D18 2022-08-17 20:47:03 - D13 2022-08-15 11:21:20 - D18 2022-08-17 20:47:03 - D17 2022-08-17 20:47:05 - D1 2022-09-14 07:55:05\n\nA helyszínen telepítve volt egy Hikvision DS-9632NI-I8 típusú NVR video recorder, mely a Város térfigyelő kameráinak kép és bizonyos kamerák esetében hang rögzítését is ellátta.\n\nA kamerarendszer beállításaiból egyértelműen kiderült, hogy a rendszer 100%-os háttértár kihasználásra van beállítva, mely a felvételkészítések során folyamatosan felülírja a legrégebben készült állományokat, ezzel biztosítva, hogy mindig legyen elegendő hely az új felvételeknek. Ebből adódóan a legrégebbi elérhető felvétel 2022. augusztus 28.-i dátumú volt. Ennél korábbi felvétel nem állt rendelkezésre.\n\nA biztonsági kamerarendszer napló állományait áttekintve látható volt, hogy a legelső bejegyzések 2021. május 31.-éről származnak és a legfrissebb bejegyzések 2022. szeptember 14.-i dátummal kerültek rögzítésre, mely a helyszíni ellenőrzés napja volt.\n\nA helyszínen szemrevételezett kézzel írott Kamera kép kimentési naplóból kiderült, hogy 2022. augusztus 15-én a Rendőrség kérésére a D13 és D19-es kamerák 11:00-11:30 közötti időintervallumban rögzített felvételei kimentésre kerültek; továbbá 2022. augusztus 24-én a PMRFK Gödöllői Rendőrkapitányság kérésére mentésre kerültek felvételek 21:30-22:00 óra közötti időtartamról.\n\nA kamera naplóállományában azonban 2022. augusztus. 8-a és 2022. szeptember 2-a illetve 2022. augusztus 8-a és 2022. szeptember 5-e közötti időtartamban nem található bejegyzés arról, hogy mikor, ki (melyik felhasználó), melyik kameráról, milyen biztonsági mentést készített.\n\nA naplóállomány ezen időszak kivételével folyamatosnak tűnt, ezért a helyszínen próba mentést készített a Hatóság az admin felhasználóval, mivel a közterület-felügyelő állítása szerint mindenki az admin felhasználói hozzáférést használja, nem ismernek más felhasználót.\n\nA Hatóság a próbamentést 2022. szeptember 14. napján 9 óra 46 perc 54 másodperckor végezte el. A felvétel készítésről azonnal naplóbejegyzés készült, melyből egyértelműen megállapítható, hogy admin felhasználóval a helyi kezelő által, tehát nem távoli eléréssel a D1-es kameráról 2022. szeptember 14. napján 08:45:11 és 2022. szeptember 14. napján 09:35:17 közötti időintervallumban készült felvételről készült biztonsági mentés USB háttértárolóra.\n\n## A korábban felsorolt biztonsági mentésekről semmilyen naplóbejegyzés nem található arról kizárólag a kézzel írott naplóból (20220914_092739.jpg) és az NVR 4.0 felhasználói felületen megtalálható biztonsági mentési előzmények ablakból szerezett a Hatóság tudomást\n\n(20220914_103109.jpg, 20220914_103122.jpg).\n\nKerepes Város Önkormányzatának 32 csatornás hálózati videó felvevő egységén a helyszíni szemle során 13 kamera volt működőképes. A városi térfigyelő kamerák kizárólag képet a HÉV megállókban alkalmazott kamerák képet és hangot is rögzítettek. A Hatóság által kimentett felvételek többségén emberi hang és/vagy a beérkező HÉV szerelvény hangja tisztán hallható (pl.: D21_20220914104034.mp4). (21)\n\n## A Hatóság által – a helyszíni szemle keretében – elvégzett naplóállomány mentés alapján megállapítható volt, hogy 2021. május 31 és 2022. szeptember 14. napja között\n\nösszesen 34 nap esetében keletkezett log fájl. Ezek az alábbiak: - 2021. május 31. napja; - 2021. június 3. napja, - 2021. június 10. napja; - 2021. június 11. napja; - 2021. június 14. napja; - 2021. június 15. napja; - 2021. június 23. napja; - 2021. július 20. napja; - 2021. július 28. napja; - 2021. július 31. napja; - 2021. augusztus 1. napja; - 2021. augusztus 2. napja; - 2021. augusztus 6. napja; - 2021. augusztus 7. napja; - 2021. augusztus 25. napja; - 2021. október 18. napja; - 2021. november 1. napja; - 2021. november 5. napja; - 2021. november 11. napja; - 2021. november 17. napja; - 2022. január 3. napja; - 2022. február 4. napja; - 2022. március 1. napja; - 2022. március 2. napja; - 2022. április 5. napja; - 2022. április 28. napja; - 2022. július 1. napja; - 2022. július 6. napja; - 2022. július 28. napja; - 2022. augusztus 8. napja; - 2022. szeptember 2. napja; - 2022. szeptember 3. napja; - 2022. szeptember 4. napja; - 2022. szeptember 5. napja\n\nA 2022. augusztus 15. napján történt eseményről, illetve annak kimentéséről nem készült naplóbejegyzés. (22)\n\n## A Hatóság az adatvédelmi hatósági eljárás során az alábbi megkereséseket, illetve tanúmeghallgatásokat foganatosította:\n\n(23) A FLASH-COM Kft. mint az Ügyfél rendszergazdája a Hatóság NAIH-7398-8/2022 . iktatószámú megkeresésére küldött és NAIH-7398-10/2022. számú válaszában előadta, hogy a Kerepesi Önkormányzat, illetőleg az Ügyfél szerverén korlátozott számban találhatóak video fájlok, egyúttal megjelölte azok elérési útvonalát. Ezen fájlokban – értékelése szerint – egyértelműen nem következett be változás (pl: törlés, áthelyezés, mentés) 2022. augusztus 15. napja és a Hatóság megkeresése közötti időszakban; arra azonban nem lehetett – időigényesség és erőforrás ráfordítás okán – határozott választ adni, hogy volt-e “mozgás“ a szerveren a video fájlok közt. A válasz szerint minden este/éjjel ütemezetten készül automatikus mentés az adatokról, erre a Windows Server saját biztonsági másolat készítőjét használják, ez egyszer csinál egy teljes adatmentést, majd a napi növekményt hozzáírja mindaddig, amíg a tárterület be nem telik; ezt követően szabadít fel helyet a régebbi mentésekből. Mindezzel párhuzamosan árnyékmásolatok is készülnek a kötetekről, minden nap ebédidőben, egyfajta köztes mentésként. A válasz idején a mentés 125 napra visszamenőleg állt rendelkezésre. Egyéb mentés – az erőforrások hiánya okán – nem készül. Külön meghajtó, vagy megosztás sosem létezett video fájlok tárolására; a szerver megosztásain viszont bármikor bárhova volt lehetőség ilyenek mentésére, mivel nincs a fájl szerveren file screening sehol beállítva. A Polgármester nem használja a saját privát mappáját a szerveren és nem volt kimutatható – erőforrás okán –, hogy a Polgármester felhasználói azonosítóival került-e feltöltésre, módosításra vagy törlésre video fájl 2022. augusztusában.\n\nÁttekinthető és kereshető listát küldött a megkeresett rendszergazda a szervereken található video fájlok metaadatairól (fájlnév, méret, módosítás időpontja). A szerveren a következő általános fájlmegosztások vannak: ADO, CSATORNA, EBNYILVANTARTO, ECOSTAT, IGAZGATAS, KABINET, KER-INFO, KOZOS, KOZTERULET, MUNKAUGY, MUSZAK, ONKIRODA, PENZUGY, PROJEKTMENEDZSMENT, SZERZŐDÉS NYILVÁNTARTÁS, TESTULET Ezeket rendszerint az arra külön létrehozott csoport éri el, esetenként kiegészítve 1-1 felhasználóval, de az adott megosztáson belül is vannak olyan mappák, amelyeken a jogok külön korlátozva vannak. Ezekben a megosztásokban bárhol lehetnek video fájlok, kizárólag a felhasználón múlik mit és hova ment. A szervert asztali PC-k és néhány esetben notebook-ok segítségével érik el. A FLASH-COM Kft. megküldtött a 2022. évi keletkezésű mp4 fájlok (shares_video_mp4.txt) mappájáról egy Powershell-és ACL lekérdezést (pendrive_mappa_acl.zip), amiben benne van, hogy ki milyen jogok alapján fér hozzá (pendrive_mappa_acl.txt), illetve a biztonsági csoportnak kik a tagjai (kabinet_csoport.txt).\n\n## A rendszergazdának semmilyen rálátása, hozzáférése, kapcsolata nincs az önkormányzati kamerarendszerre\n\nés annak különálló hálózatára; azonban azt nyilatkozta, hogy a kamerarendszer hálózata és az informatikai hálózat között sem logikai, sem fizikai kapcsolat nincs. Válaszában hangsúlyozta, hogy nem csak a kialakításban nem vett részt, de még szakmai megkeresést sem kapott azzal kapcsolatban mint rendszergazda, egyszer csak szembesültek a rendszer kiépítésével.\n\n(24) A Nemzetközi Testőr Biztonságszolgálati Kft. (a továbbiakban: Testőr Kft.) válasza az alábbiakat tartalmazta: A Testőr Kft. mellékelte az Önkormányzat és közte 2021. október 31. napján megkötött karbantartási megbízási szerződést azzal, hogy üzemeltetési feladatokat nem végeznek. A megküldött szerződés értelmében 2021. november 1. és 2022. október 31. napja között a térkamerás rendszer vonatkozásában karbantartási feladatokat látnak el. Rögzítette, hogy egyéb informatikai tevékenységre nem terjed ki a szolgáltatásuk; azzal kapcsolatban nem tudott érdemben nyilatkozni, hogy az üzemeltetést ki végzi. Távoli elérést, új felhasználói jogosultságot nem biztosítottak a Város Önkormányzata vagy más részére. Rögzítette, hogy a MÁV-HÉV Szilasligeti állomás kamerarendszerét a MÁV-HÉV Zrt. építette ki; ebbe a rendszerbe illesztették be az eszközöket a meglévő rendszerek felhasználásával, a MÁV-HÉV Zrt. és az Önkormányzat illetékesei által meghatározott módon. Nyilatkozott továbbá, hogy mikor végzett el karbantartási feladatokat az Önkormányzat részére. (25) A FLASH-COM Kft. újbóli megkeresésre adott válasza az alábbiakat tartalmazta: Nyilatkozott, hogy az Ügyfél informatikai rendszerében található “C:\\SHARES\\kabinet\\Ecsi\\“ mappához mely személyek – mindösszesen tizenhárman – rendelkeztek, illetve rendelkeznek hozzáféréssel; illetve arról, hogy ezen személyek milyen felhasználói műveletek végzésére jogosultak. Nyilatkozott, hogy a “Kabinet“ mappában szereplő egyes felhasználók mappáihoz felhasználói mappánként – kik rendelkeztek, illetve rendelkeznek hozzáféréssel. Nyilatkozott, hogy a Kabinet/Ecsi mappában megtalálható, alább megjelölt videó fájlok a megkeresés kézhezvételekor rendelkezésre álltak. Adathordozón megküldte a korábbi, 2022. október 12. napján kelt válasza mellékletében megjelölt és maradandó módon is mentett: Directory: C:\\SHARES\\kabinet\\Ecsi\\Pendrive Mode LastWriteTime Length File Name -a---- 2022.04.05. 14:39 1.064.222.720 D18_20220330000615.mp4 -a---- 2022.04.05. 14:30 367.722.496 D19_20220330005230.mp4 -a---- 2022.04.05. 14:35 1.064.312.832 D19_20220330161020.mp4 videó fájlokat. (26) E video fájlokat áttekintve a Hatóság az alábbi megállapításokat rögzítette: A DVD adathordozón mindösszesen négy (4) MP4 video fájl található.\n\nI. Az ”uj” elnevezésű mappában lévő D01_20220413140521 felvétel – a leírás szerint – a\n\n”Mogyoródi út temető” elnevezésű, Kerepes Város közútját rögzítő kamera által 2022. április 13. napján 14 óra 5 perc és 14 óra 55 perc közötti időtartamban rögzített felvétel. A felvételen gépjárművek és azonosítható természetes személyek láthatóak. II. A D18_20220330000615 felvétel – a leírás szerint – a ”Peron Átjáró” elnevezésű, a HÉV megállót rögzítő elnevezésű kamera által 2022. március 30. napján 00 óra 6 perc és 01 óra 12 perc közötti időtartamban rögzített felvétel. A felvételen – 21 perc 33 másodperctől – azonosítható természetes személy látható.\n\nIII. A D19_20220330005230 felvétel – a leírás szerint – a ”Elektromos Hátú” elnevezésű, a HÉV megálló környezetét rögzítő kamera által 2022. március 30. napján 00 óra 52 perc és 01 óra 48 perc közötti időtartamban rögzített felvétel. A felvételen – 02 perc 28 másodperctől – természetes személy látható, aki az előző felvétel ismeretében a viselt ruházata alapján azonosítható. IV. A D19_20220330161020 felvétel – a leírás szerint – a ”Elektromos Hátú” elnevezésű, a HÉV megálló környezetét rögzítő kamera által 2022. március 30. napján 16 óra 10 perc és 2022. március 31. napján 07 óra 16 perc közötti időtartamban rögzített felvétel. A felvételen azonosítható természetes személyek áthaladása látható.\n\n## Ezen felvételek esetében sem volt naplóbejegyzés a Hatóság által a szemle során kimentett\n\nnaplófájlok között. (27) A Hatóság – Ügyfél nyilatkozatának hiányában a https://www.kerepes.hu/szerz%C5%91d%C3%A9sek oldalon található közzétételi lista alapján megállapította, hogy a Város közigazgatási területén közterületi térfigyelő kamerarendszer kiépítését a Falcon-Pool Szolgáltató és Kereskedelmi Kft. (a továbbiakban: Falcon-Pool Kft.) végezte el; majd megkeresést intézett felé. A Falcon-Pool Kft. válasza az alábbiakat tartalmazta. A Falcon-Pool Kft. megküldte a 2016. március 21. napján kelt, közte és az Önkormányzat között megkötött vállalkozási szerződést, amely a Város közigazgatási területén közterületi térfigyelő kamerarendszer kiépítésére irányult 2016. július 1-i határidővel. A Falcon-Pool Kft. rögzítette, hogy már nem áll szerződéses jogviszonyban az Önkormányzattal, illetve az Ügyféllel, a rendszer üzemeltetésével más céget bíztak meg 2019. évben. A térfigyelő kamerarendszer komplex műszaki megvalósítására vonatkozó dokumentációt átadták az Önkormányzatnak 2016. augusztus 9. napján. A Falcon-Pool Kft. nem biztosított interneten keresztüli hozzáférést a kamerarendszerhez, illetve annak eszközeihez. A MÁV – HÉV Szilasliget állomás kameraképe rádiós úton kapcsolódott a rendszerhez, az átadott dokumentáció tartalmazza az átviteli útvonalat. A Falcon-Pool Kft.-nek a válaszadáskor semmilyen hozzáférése nem volt a kamerarendszerhez. A Város polgármesterének nem volt hozzáférése a kamerarendszerhez, a közterület-felügyelőknek és a körzeti megbízottaknak volt hozzáférése a rendszerhez, amíg a Falcon-Pool Kft. és az Önkormányzat között szerződéses jogviszony állt fenn. (28) Ügyfél 2023. február 20. napján – miután a válaszadásra határidő hosszabbítási kérelmet nyújtott be, melynek a Hatóság helyt adott és a válaszadás határidejét 2023. február 10. napjában állapította meg – az alábbi nyilatkozatot tette a Hatóság tényállás tisztázó felhívására: Figyelemmel a körülményre, hogy a Hatóság – Ügyfél álláspontja szerint – olyan adatokra nézve kért nyilatkozatokat, amelyek speciális szakismereteket igényelnek, Ügyfél haladéktalanul megkereste a Testőr Kft.-t mint karbantartót, hogy segítse a válaszadást, amely azonban nem vezetett eredményre, majd ezt követően ajánlatokat kért annak érdekében, hogy találjon egy megfelelő szakmai partnert, amely nem kizárólag a karbantartási feladatok ellátásában, de a hatósági előírásoknak történő folyamatos megfelelésben is együttműködik Ügyféllel. Mivel ennek a folyamatnak a lezárására a nyilatkozattételre biztosított határidő nem volt elegendő Ügyfél a fenti tényekre hivatkozva határidőhosszabbítást kért és kapott a Hatóságtól, majd megszüntette az együttműködést a Testőr Kft.-vel, szerződött a Falcon-Pool Kft.-vel, végrehajtotta a kamerarendszer átadás-átvételi folyamatát a volt és az újonnan szerződtetett gazdasági társasággal, ezt követően pedig beszerezte a Hatóság által kért adatokat, részben 2023. február 17. napján, részben 2023. február 20. napján. Ügyfél rögzítette, hogy e folyamat nélkül a Hatóság végzésében foglalt kérdésekre érdemi választ nem tudtak volna adni. Ügyfél – a meghosszabbított válaszadási határidő leteltét követően – megküldte a Falcon-Pool Kft.vel 2023. február 16. napján kötött vállalkozási szerződést, amely a kamerarendszer üzemeltetésre irányul és időtartamát tekintve 2023. február 16. napjától 2024. december 31. napjáig tart, azonban a felek közös akaratával meghosszabbítható. Ügyfél nyilatkozata szerint a kamerarendszer kamerái, az NVR, vagy bármely más hálózati eszköz nem rendelkezett és nem is rendelkezik internet eléréssel, illetve azok nem elérhetőek az internet felöl. Ügyfél nem tudott nyilatkozni a tekintetben, hogy a MÁV – HÉV Szilasliget állomás kameraképei, mikor, milyen átviteli úton és milyen tervek alapján lettek integrálva Kerepes város kamerarendszerébe. Ügyfél tudomása szerint távoli elérés nincs a kamerarendszer hálózati elemei felé. A karbantartási feladatokat pedig szintén a Falcon-Pool Kft. végzi, a mellékelt szerződés szerint. A közterületi kamerarendszerhez Ügyfél Rendészetének, illetve a Rendőrség munkatársainak van teljes körű hozzáférése. A Falcon-Pool Kft. első üzemeltetési időszakában senkinek nem volt ilyen a közterületi kamerarendszer hozzáférési beállításainak módosítására jogosultsága, a Testőr Kft. időszakából ilyen információ nem áll rendelkezésre. Ügyfél tudomása szerint a közterületi kamerarendszerhez senkinek nincs távoli elérése (Quick Connect). A Polgármester – Ügyfél tudomása szerint – nem rendelkezik hozzáféréssel a közterület kamerarendszerhez. Ügyfél nyilatkozata szerint 2022. július 1. és 2022. szeptember 30. napja közötti időszakban nem történt a video rögzítő NVR-t érintő bármilyen beavatkozás, telepítés, másolás, törlés, log ellenőrzés illetve módosítás. (29)\n\n## 2023. április 4. napján sor került Tanú 2 meghallgatására (adatai kérelmére zártan kezelve) a Hatóság előtt, aki az alábbiakat adta elő:\n\nTanú 2 előadta, hogy ő személy szerint közvetlenül nem vesz részt az adatkezelési műveletekben; az adatkezelésre a Tanú 2 hivatali helyiségétől teljesen különálló épületben kerül sor, ”védett rendszerben”; Tanú 2-nek – elmondása szerint – nincs közvetett vagy közvetlen ráhatása az adatkezelésre. A kamerák által közvetített képfelvételek tárolásának módjáról, a tárolás idejéről nincs ismerete. Tudomása szerint a mindenkori közterület-felügyelő jogosult hozzáférni a felvételekhez, aki […]. Tanú 2-nek nem volt érdemi ismerete a közterület-felügyelő jogosultságairól.\n\n## Kérdésre elmondta, hogy nem polgármesteri feladat a kamerafelvételek alapján történő hivatalos eljárások kezdeményezése, illetve feljelentés megtétele; így ezzel kapcsolatban semmilyen feladata nincs Polgármesternek. Előadta, hogy a Polgármester semmilyen kamerafelvételhez nem fér hozzá. Arra a kérdésre, hogy mikor ismert meg ilyen felvételeket és\n\nmelyek voltak ezek Tanú 2 nem tudott válaszolni. Elmondta, hogy az ominózus – az önkielégítést végző férfiről szóló -- felvétel esetében Ügyfél nem adatkezelő, a videokamera nem közterületi kamera, hanem közforgalom számára nyitva álló magánterületen található, hiszen ez egy Hév megálló; az adatkezelő tehát a MÁV-HÉV Zrt.; mely tényre táblák is felhívják a figyelmet a helyszínen. A Polgármester az egyébként bűncselekményt megvalósító cselekménnyel kapcsolatban egyfajta pressziót kívánt érvényesíteni az elkövető felé, hogy adja fel magát és jelentkezzen a hatóságnál. Kezdetben a Polgármester magát a felvételt nem látta, szóban értesült a sértettől a történtekről; ezt követően tette közzé a felhívását, hogy az elkövető jelentkezzen. Ezek után került Polgármester birtokába a felvétel, azonban arra már nem emlékszik, hogy miképpen. Megjegyezte, hogy amikor a Hatóság szemlét foganatosított, nyilvánvalóan élénkebb emlékei lettek volna; azonban ennyi idő távlatából már nem emlékszik. Előadta, hogy már mindenhonnan törölte a felvételt és arról sem tudott nyilatkozni, hogy milyen adathordozón került az hozzá. A Polgármester a saját okostelefonjával készített önmagáról egy videó felvételt, amelyben az eset körülményeiről szólt és amihez hozzászerkesztette az ominózus videót.\n\n## Közbevetett kérdésre elmondta, hogy nem tudja ki tette közzé a videofelvételt a polgármesteri minőségben működő facebook oldalon. Ezt az oldalt többen is kezelik és nem kíván nyilatkozni a\n\nszemélyükről. Tanú 2 elmondta, hogy nem rendelkezik, illetve korábban sem rendelkezett közvetlen hozzáféréssel, vagy távoli eléréssel a kamerarendszerhez, az teljesen zárt rendszer. Nem tudott arra vonatkozóan nyilatkozni, hogy a felvételeken ki és mi alapján végez műveleteket (pl.: arc kitakarása).\n\n## A Hatóság kérdésére, hogy általában milyen módon (pl: kamerarendszerből más adathordozóra mentés, tárolás, közösségi oldalon közzététel, feljelentés), milyen célból és jogalappal használta fel a Polgármester a kamerafelvételeket, Tanú 2 az alábbiak szerint nyilatkozott:\n\nA Városnak évről évre több millió forintjába kerül az illegális szemét elhelyezése miatti eljárás. Törvényi kötelezettség, hogy a polgármester részt vegyen a bűncselekmények visszaszorításában, megelőzésében. Ezen felül morális kötelezettségének is érzi, hogy fellépjen a lakosság védelmében. Elmondta, hogy az önkielégítést végző személy esetében is eredményre vezetett a videofelvétel közzététele, hiszen az alapján – a ruházata alapján – azonosították az elkövetőt. Elmondta, hogy a 2013. január 1. napján hatályba lépő önkormányzati törvény polgármesteri kötelezettségeként határozza meg a közbiztonság érdekében történő fellépést. Így álláspontja szerint a Polgármesternek törvényi kötelezettsége fellépni az ilyen esetekben. Álláspontja szerint ezen törvényi kötelezettségből fakadóan jogszerűen járt el, amikor bűncselekmény felderítésében közreműködött. Nyilatkozott, hogy nem tárol felvételeket a közterületi kamerarendszerből.\n\n## Arra a kérdésre, hogy a polgármesteri Facebook oldalon közzétett tartalmakat ki tölti fel, ki dönt arról milyen tartalmakat/felvételeket osszanak ott meg úgy nyilatkozott, hogy erre a\n\nválaszt már megadta (nem tudja, illetve nem nyilatkozott).\n\n## Tanú 2 nem tudott nyilatkozni a tekintetben, hogy honnan álltak rendelkezésére a facebookon\n\n## 2020. június 16. napján és a 2022. augusztus 18. napján közzétett videofelvételek. A korábbi\n\nesettel kapcsolatban arra emlékezett, hogy amint a Hatóság levelet küldött a tárgyban levetette a felvételt. Állítása szerint adatmentést soha nem végzett.\n\n## Tanú 2 ugyancsak nem tudott nyilatkozni, hogy a facebook.com közösségi oldalon közzétett felvételek esetében ki végezte el a feltöltést; illetve, hogy a feltöltés során a videó fájlok\n\npontos forrása mely adathordozó, vagy eszköz volt. Ennélfogva arról sem tudott nyilatkozni, hogy az adathordozóval, vagy más eszközzel a felvételek feltöltését követően mi történt, az hol található a meghallgatás időpontjában. Tanú 2-nek arról sem volt tudomása, hogy rajta kívül felhasználta-e még valaki a vonatkozó felvételeket. Arról sem tudott nyilatkozni, hogy a facebook.com közösségi oldalon közzétett felvételek esetében ki, mikor, mely eszközön végezte el a ”maszkolást”, utólagos képszerkesztést. A „Szervusz” elnevezésű facebook oldal kezelőjéről úgy nyilatkozott, hogy az a korábbi alpolgármester, […]. Az oldal pedig a kerepesi Fidesz kommunikációs felülete, amihez a Polgármesternek semmi köze nincs és nem is volt. Tanú 2 emlékei szerint a szemétlerakással kapcsolatos közterületi kamerafelvétel vonatkozásában a Polgármester tett feljelentést, de már nem emlékszik. Tanú 2 jogi képviselője közbevetette, hogy lehetséges, hogy a közterület felügyelet tette meg a feljelentést. Tanú 2 kérdésre előadta, hogy nincs jogosultsága belépni a kameraszobába. Nem tudott nyilatkozni, hogy mely cég építette ki a kamerarendszert, mivel legalább 10 éves az. Az elmúlt években – Tanú 2 szerint – a Testőr Kft. üzemeltette a kamerarendszert, jelenleg pedig a Falcon-Pool Kft. üzemelteti. Tanú 2-nek nem volt ismerete arról, hogy milyen video fájlokat és milyen célból tárolnak Ügyfél szerverének Ecsi elnevezésű mappájában, továbbá arról sem, hogy ki fér hozzá a mappához; ezt a mappát Tanú 2 nem használta. Arra a kérdésre, hogy a polgármesteri Facebook oldalon közzétett tartalmakat ki tölti fel, ki dönt arról milyen tartalmakat/felvételeket osszanak ott meg úgy nyilatkozott, hogy arról nem kifejezetten Polgármester dönt. Előfordult, hogy utólag szembesült azzal, hogy mi lett közzé téve; arra továbbra sem kívánt válaszolni, hogy kik töltik fel a tartalmakat.\n\n(30)\n\n## 2023. április 4. napján sor került a Hatóság előtt […] tanúkénti meghallgatására is:\n\nTanú elmondta, hogy a Polgármesternek az asszisztense, levelezését intézi, találkozókat szervez neki; a közterületi kamerarendszerrel kapcsolatban nincs feladata. Tanúnak nem voltak ismeretei a kamerarendszer által rögzített felvételekkel, a különböző jogosultságokkal és a kamerafelvételeken végzett műveletekkel kapcsolatban. Tudomása szerint a Polgármester semmilyen felvételhez nem férhet hozzá; arra vonatkozóan nem tudott nyilatkozni, hogy a Polgármester miként fért hozzá a facebookon megjelent, az önkielégítést nyilvánosan végző személyről készült felvételhez. Nem tudta, hogy a Polgármester Facebook profilján ki tesz közzé tartalmakat, tanú nem adminisztrátor, ezzel kapcsolatos ismerete nincs. Feltételezi, hogy a Polgármesternek van köze a tartalommegosztáshoz.\n\nNem tudott arra vonatkozóan nyilatkozni, hogy honnan álltak rendelkezésére a facebookon 2020. június 16. napján és a 2022. augusztus 18. napján közzétett videofelvételek; illetve arra vonatkozóan sem, hogy ki mentette/másolta ki a 2022. augusztus 18. napján a közösségi oldalán közzétett felvételt a kamerarendszerből. Tanú állítása szerint a nyilvánosan önkielégítést végző személyről készült videofelvételt ő a facebookon, az interneten látta először, onnan értesült róla csak. Elmondta, hogy 2022. augusztusában elég rideg volt a viszonya a Polgármesterrel, emiatt is lehet, hogy közvetlenül nem értesült a felvétel létéről a facebook-os közzétételig. Érdemben nem tudott nyilatkozni a tekintetben sem, hogy milyen video fájlokat és milyen célból tárolnak Ügyfél szerverének Ecsi elnevezésű mappájában, illetve, hogy ahhoz ki fér hozzá és ki használja. Tudomása szerint a közterületi kameraképeket a közterület felügyelet kezeli és nincs ismerete arról, hogy hogyan kerültek ezen felvételek a konkrét esetben a Polgármesterhez. (31) A Hatóság a döntéshozatal során felhasználta jelen adatvédelmi hatósági eljárásban a NAIH- 7019/2022. vizsgálati eljárás iratanyagából az alábbi iratokat:\n\n- NAIH-7019-2/2022. számú irat, a Hatóság megkeresése a MÁV-HÉV Helyiérdekű Vasút Zártkörűen Működő Részvénytársaság (a továbbiakban: MÁV-HÉV Zrt.) felé; - NAIH-7019-3/2022. számú irat, a MÁV-HÉV Zrt. válasza; - NAIH-7019-4/2022. számú irat, a Hatóság megkeresése a MÁV-HÉV Zrt. felé; - NAIH-7019-5/2022. számú irat, a MÁV-HÉV Zrt. 2022. december 1. napján kelt válasza. Ezen iratok tartalma szerint a nyilvánosan önkielégítést végző személyt a MÁV-HÉV Zrt. tulajdonában és önálló üzemeltetésében lévő kamera rögzítette Szilasliget HÉV megállóhelyen mint közforgalom számára megnyitott magánterületen. 2021. április 27. napján a MÁV-HÉV Zrt. és Ügyfél között létrejött Együttműködési Megállapodás (a továbbiakban: Megállapodás) alapján a MÁV-HÉV Zrt., a tulajdonában lévő kamerák (Szilasliget HÉV megálló) élőképeihez történő távoli hozzáférést biztosít Ügyfél részére. E Megállapodásban felek rögzítették, hogy a felvételek adathordozóra történő kimentésére és harmadik fél részére történő átadásra kizárólag a MÁV-HÉV Zrt. jogosult. Az élőképen nem került kitakarásra a rögzített személy. A MÁV-HÉV Zrt. – mivel Ügyfél megszegte a Megállapodás 2.1. pontjában foglaltakat – felszólította Ügyfelet a Megállapodásban foglaltak betartására, illetve adatvédelmi incidens tárgyában bejelentést tett a Hatóság felé. E felszólító levelet megküldték a Hatóság részére. A MÁV-HÉV Zrt. álláspontja szerint Ügyfélnek a felvétel lementésére és továbbításra sem volt jogalapja. A MÁV-HÉV Zrt. a felvételt nem mentette le, azt nem továbbította. (32) A MÁV-HÉV Zrt. 2023. április 19. napján az alábbi nyilatkozatot tette a Hatóság NAIH-507- 12/2023. iktatószámú tényállás tisztázó megkeresésére: Megküldte a Polgármester által jegyzett és 2022. szeptember 13. napján kelt válaszlevelet, melyet a MÁV-HÉV Zrt. fentebb rögzített felszólítására írt. E levélben a Polgármester arra tett javaslatot, hogy Ügyfél és a MÁV-HÉV Zrt. szakemberei vegyék fel egymással a kapcsolatot, a Megállapodást az Általános adatvédelmi rendeletnek (GDPR) megfelelően pontosítsák a személyes adatok szabályos kezelése, továbbítása érdekében. Javaslatot tett továbbá az ún. ”védett kocsi”-ban alkalmazandó elektronikus megfigyelés szabályozására is. A MÁV-HÉV Zrt. közölte, hogy – válaszának idején – Ügyfélnek nem volt hozzáférése a Szilasliget HÉV megállóban található kamerák képeihez, sem pedig más, a MÁV-HÉV Zrt. által üzemeltetett kamerák képeihez. Közölte továbbá, hogy a Szilasliget megállóhelyen felszerelt kamerák képeinek megtekintésének lehetőségét a Megállapodás megkötését követően tették lehetővé; e Megállapodás 2.2. pontja pedig rögzíti, hogy a MÁV-HÉV Zrt. a Város kamerarendszerébe történő integrálásban, csupán hálózati kapcsolaton keresztül hozzáférést engedélyeztek az egyes kamerák élőképeihez, az Önkormányzat a saját optikai kábelét csatlakoztathatta a MÁV-HÉV Zrt. optikai vevőjébe. A MÁV-HÉV Zrt. közölte, hogy e kamerák vonatkozásában nem tekinti magát közös adatkezelőnek Ügyféllel. A Megállapodás 2.1. pontjából kitűnik, hogy a MÁV-HÉV Zrt. adott felhatalmazást Ügyfélnek a távoli hozzáféréshez, meghatározva az adatkezelés célját és eszközeit. (33) Ügyfél 2023. június 15. napján az alábbi nyilatkozatot tette a Hatóság NAIH-507-16/2023. iktatószámú tényállás tisztázó felhívására:\n\n## Megküldte a Városi Kamera Rendszer információbiztonsági audit jegyzőkönyvét (a továbbiakban: Jegyzőkönyv), melynek vezetői összefoglalója szerint Ügyfél Városi Kamera\n\n## Rendszert (e helyütt a továbbiakban: Rendszer) üzemeltet. A Jegyzőkönyv rögzíti, hogy az Ibtv. 7. §\n\n(1-2) bekezdései alapján az Ibtv. hatálya alá tartozó szervezeteknek biztonsági osztályba kell sorolniuk elektronikus információs rendszereiket. A Jegyző az Ügyfél elektronikus információs rendszerek biztonságáért felelős személyével közösen 3-as biztonsági osztályba sorolta a rendszert.\n\n## A Rendszer korábban került bevezetésre, annak konkrét dátumáról nincs információ. A\n\nJegyzőkönyvben rögzítették a Rendszer biztonsági felülvizsgálatának az eredményeit és kimutatták a nem megfelelőségeket, melynek kezelésére cselekvési tervet fognak készíteni felelős és határidő megjelölésével.\n\n## A Jegyzőkönyv az alábbi nem megfelelőségeket rögzíti:\n\n3.1.1.1. Informatikai biztonsági szabályzat Értékelés: A Hivatal rendelkezik Informatikai Biztonsági Szabályzattal, azonban annak a felülvizsgálata indokolt. Rögzíteni kell benne a Rendszer biztonsági osztályba sorolásának eredményét. Döntés: Nem felelt meg. 3.1.1.3. Az intézkedési terv és mérföldkövei Értékelés: A Hivatal a Rendszer vonatkozásában nem készített intézkedési tervet az irányadó biztonsági osztályra előirt követelmények teljesítésére. Döntés: Nem felelt meg 3.1.1.4. Az elektronikus információs rendszerek nyilvántartása Értékelés: A Hivatal elektronikus információs rendszereinek nyilvántartása nem tartalmazza a Rendszert. Döntés: Nem felelt meg. 3.1.2.2. Biztonsági osztályba sorolás Értékelés: Az IBSZ nem tartalmazza. A jelen felülvizsgálat során elvégzésre került. Döntés: Nem felelt meg 3.1.2.3. Kockázatelemzés Értékelés: A Hivatal rendelkezik kockázatelemzéssel, azonban annak felülvizsgálata indokolt, különös tekintettel a bevezetett Rendszerre vonatkozóan. Döntés: Nem felelt meg. 3.1.3.2. Erőforrás igény felmérés Értékelés: A Rendszer bevezetésekor nem került végrehajtásra. Döntés: Nem felelt meg. 3.1.3.3. Beszerzések Értékelés: Az érintett követelmény a Rendszer bevezetésekor nem került végrehajtásra. Döntés: Nem felelt meg. 3.1.3.4. Az elektronikus információs rendszerre vonatkozó dokumentáció\n\nÉrtékelés: A Rendszer rendelkezik felhasználói dokumentációval, azonban nem rendelkezik adminisztrációs dokumentációval. Döntés: Nem felelt meg. 3.1.3.8. Folyamatos ellenőrzés Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelményt. Döntés: Nem felelt meg. 3.1.4.2. Üzletmenet-folytonossági terv informatikai erőforrás kiesésekre Értékelés: A Hivatal rendelkezik ügymenet-folytonossági tervvel, azonban nem tartalmazza a Rendszer RTO, RPO értékeinek meghatározását és nem tartalmazza a Rendszer helyreállítási tervét. Döntés: Nem felelt meg. 3.1.4.3. A folyamatos működésre felkészítő képzés Értékelés: A Rendszer vonatkozásában nem volt még ilyen képzés. Döntés: Nem felelt meg. 3.1.4.8. Az elektronikus információs rendszer mentései Értékelés: A Rendszer nem rendelkezik jelenleg semmilyen mentéssel. Döntés: Nem felelt meg. 3.1.4.9. Az elektronikus információs rendszer helyreállítása és újraindítása Értékelés: A Rendszer nem rendelkezik mentéssel, ezért annak helyreállítása nem garantálható. Döntés: Nem felelt meg. 3.1.5.8. Biztonsági eseménykezelési terv Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.1.5.9. Képzés a biztonsági események kezelésére Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.1.6.6. Az érintett szervezettel szerződéses jogviszonyban álló (külső) szervezetre vonatkozó követelmények Értékelés: Az IBSZ tartalmazza az érintett követelményt, azonban a Rendszer üzemeltetésére kötött szerződés nem tartalmazza. Döntés: Nem felelt meg. 3.1.7.3. Biztonság tudatosság képzés Értékelés: Korábban több alkalommal elvégzésre került. Frissítő biztonság tudatossági képzés megtartása indokolt az IBF által közzétett online oktatóanyag felhasználásával. Döntés: Nem felelt meg. 3.2.1.2. Fizikai védelmi eljárásrend Értékelés: Az IBSZ részeként szabályozott, de nem tér ki a kamera rendszert tároló helyiségre. Döntés: Nem felelt meg. 3.2.1.3. Fizikai belépési engedélyek Értékelés: A Rendszer központi egysége a Közterület-felügyelet épületében került elhelyezésre. Nem kerültek meghatározásra a belépésre jogosultak köre. Döntés: Nem felelt meg.\n\n3.2.1.4. A fizikai belépés ellenőrzése Értékelés: Jelenleg elektronikus beléptető rendszer működik a kamera rendszernek helyt adó épületben, valamint sima kulccsal is zárható/nyitható az épület. A beléptető rendszer csak a belépéseket naplózza, a kilépéseket nem. Kulccsal történő belépés esetén a be- és kilépések nem kerülnek naplózásra. Döntés: Nem felelt meg. 3.2.1.7. A fizikai hozzáférések felügyelete Értékelés: Lásd 3.2.1.4. pont Döntés: Nem felelt meg. 3.2.1.8. A látogatók ellenőrzése Értékelés: A látogatók ellenőrzése, regisztrálása nem történik meg. Döntés: Nem felelt meg. 3.2.1.12. Tűzvédelem Értékelés: Nem rendelkezik tűzjelzővel a helyiség, elektromos tüzek oltására alkalmas tűzoltó készülék a helyiségben megtalálható. Döntés: Nem felelt meg. 3.2.1.19. Karbantartók Értékelés: Nem kerültek meghatározásra a karbantartó személyek köre, nem vezetnek nyilvántartást a karbantartókról. Döntés: Nem felelt meg. 3.3.2.2. Rendszerbiztonsági terv Értékelés: A Rendszer nem rendelkezik rendszerbiztonsági tervvel vagy azzal egyenértékű dokumentummal, melyben a védelmi intézkedések kifejtésre kerülnek. Döntés: Nem felelt meg. 3.3.2.3. Cselekvési terv Értékelés: A Hivatal nem rendelkezik cselekvési tervvel a feltárt hiányosságok kezelésére Döntés: Nem felelt meg. 3.3.4.1. Biztonságelemzési eljárásrend Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.4.2. Biztonsági értékelések Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.4.4. A biztonsági teljesítmény mérése Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.5.1. Tesztelési, képzési és felügyeleti eljárások Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.5.2. A biztonsági teljesítmény mérése Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.5.3 Sérülékenység-teszt Értékelés: Nem végeztek sérülékenység vizsgálatot a Rendszeren. Döntés: Nem felelt meg. 3.3.5.3.2. Frissítési képesség Értékelés: Nem végeztek sérülékenység vizsgálatot a Rendszeren. Döntés: Nem felelt meg. 3.3.5.3.3. Frissítés időközönként, új vizsgálat előtt vagy új sérülékenység feltárását követően. Értékelés: Nem végeztek sérülékenység vizsgálatot a Rendszeren. Döntés: Nem felelt meg. 3.3.5.3.4. Privilegizált hozzáférés Értékelés: Nem végeztek sérülékenység vizsgálatot a Rendszeren. Döntés: Nem felelt meg. 3.3.5.3.5. Felfedhető információk Értékelés: Nem végeztek sérülékenység vizsgálatot a Rendszeren. Döntés: Nem felelt meg 3.3.6.2. Alapkonfiguráció Értékelés: Az eredeti megvalósítási dokumentáció tartalmazza a rendszer konfigurációját. Azóta más cég vette át a rendszer működtetését. Az időközben bekövetkezett módosításokról nincs információ. Nemrégiben újra visszavette a rendszer karbantartását az eredeti szállító. Jelenleg a teljes rendszer felülvizsgálata, korszerűsítése folyik. Ennek lezárása után friss dokumentumokat fog készíteni a szállító, melyben meg fogjuk követelni a hivatal részéről a szükséges információbiztonsági elemeket. Döntés: Nem felelt meg. 3.3.6.3. A konfigurációváltozások felügyelete (változáskezelés) Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.6.3.2. Előzetes tesztelés és megerősítés Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.6.4. Biztonsági hatásvizsgálat Értékelés: Az IBSZ nem tartalmazza, a Rendszer 3-as biztonsági osztálya alapján megjelenő új követelmény. Döntés: Nem felelt meg. 3.3.6.6. Konfigurációs beállítások Értékelés: Lásd 3.3.6.2. Döntés: Nem felelt meg 3.3.7.2. Rendszeres karbantartás Értékelés: A karbantartási feladatokat a szerződött külső fél végzi el. Részükről az elvégzett feladatok dokumentálásra kerülnek. Karbantartási nyilvántartással nem rendelkeznek. Döntés: Nem felelt meg.\n\n3.3.8.2. Hozzáférés az adathordozókhoz Értékelés: A Rendszer esetében nem került konkrétan meghatározásra. Döntés: Nem felelt meg. 3.3.9.2. Azonosítás és hitelesítés Értékelés: A Rendszer több eleméhez lehet azonosítást és hitelesítést követően hozzáférni. Ezek a következők: Központi egység: Jelenleg a beépített adminisztrátor és vendég fiókokkal férnek hozzá a rendszerhez. Városi kamerák és antennák: Nincs információ a felhasználói fiókokról. Döntés: Nem felelt meg. 3.3.9.2.2. Hálózati hozzáférés privilegizált fiókokhoz Értékelés: A Rendszer csak a tudás alapú hitelesítést támogatja. Nincs lehetőség többtényezős hitelesítés alkalmazására. A későbbiekben a központi eszköz védett helyen kerül elhelyezésre, ahová csak az arra feljogosítottak fognak hozzáférni, a felhasználók nem. Döntés: Nem felelt meg. 3.3.12.4. Napló tárkapacitás Értékelés: Jelenleg nincs információ arról, hogy mennyi tárkapacitás került biztosításra a naplóbejegyzések tárolására. Döntés: Nem felelt meg. 3.3.12.5. Naplózási hiba kezelése Értékelés: Jelenleg nincs információ arról, hogy a rendszer hogyan kezeli le, ha nem tud naplózni. Döntés: Nem felelt meg. 3.3.12.11. A naplóbejegyzések megőrzése Értékelés: Jelenleg nincs információ arról, hogy a Rendszer mennyi ideig őrzi meg a naplóinformációkat. A naplóinformációk felülíródnak. A Rendszer jelenleg nincs mentve. Döntés: Nem felelt meg. Ügyfél 2023. június 15. küldte meg a Hatóságnak a 2023. június 12. napján készített Jegyzőkönyvet, amely a NAIH-507-16/2023. iktatószámú tényállás tisztázó végzés 8. számú kérdésére adott válaszként volt elfogadható. Ezen felül a Hatóság által feltett kilenc kérdésre semmilyen válasz nem érkezett, további határidő hosszabbítási kérelmet vagy magyarázatot Ügyfél nem adott elő. (34) Ügyfél képviselője a 2023. június 23. napján 11:18 perckor e-mail üzenetében tájékoztatta a Hatóságot, hogy a korábbi tényállás tisztázó végzésre vonatkozó válaszát határidőben, hivatali kapun keresztül megküldte, melyet igazolni is tud. Ügyféltől 2023. június 23. napján beérkezett valamennyi, általa hivatkozott irat. Ezen iratok mellékletét képezte az Ügyfél igazolása is, miszerint a vonatkozó iratokat határidőben – 2023. június 15. napján – feladta (ASP iratkezelő szakrendszer screenshot). Az Ügyfél a tényállás tisztázása keretében feltett kérdésekre az alábbiak szerint nyilatkozott: Az Ügyfél a szerverén a “C:\\SHARES\\kabinet\\Ecsi\\“ mappában tárolt D01_20220413140521, D18_20220330000615, D19_20220330005230 és D19_20220330161020 elnevezésű kamerafelvételek kezelésének célja és annak jogalapja tekintetében, illetve a felvételek felhasználása tekintetében előadta, hogy a megjelölt fájlok eredeti tárolásának célját és okát a belső vizsgálat nem tudta kideríteni. Az adatkezelési célra utólag a bűnüldözési célt, a jogalapra az Ügyfél az Infotv. 5. §. 1.bekezdés a) pontját jelölte meg. A felvételek felhasználásáról Jegyzőnek nincs tudomása.\n\n## A felvételek 30 napon túli tárolásának okát nem sikerült Ügyfélnek – válasza szerint – feltárni, a\n\nfelvételek készítésekor és tárolásba helyezésekor a Jegyző – a válasz szerint – még nem töltötte be a jelenlegi tisztségét. Ezen felvételek már nem találhatók meg, a belső vizsgálatot követően ezen video fájlokat törölték 2023. február 28. napján. A válasz szerint a felvételeket csak a közterület-felügyelet munkatársai ismerték meg. Állítását a nyilatkozatán túl egyéb módon (a tényleges megtekintéseket, mentéseket, stb. tanúsító dokumentummal) igazolni nem tudta. […] foglalkoztatási jogviszonyt igazoló szerződését (amely beosztását is tartalmazza) megküldte Ügyfél, kinevezésének napja 2021. október 21. napja volt, a jogviszonya azóta is fennáll. (35) Jelen adatvédelmi hatósági eljárás során a Hatóság mindösszesen három alkalommal szabott ki eljárási bírságot Ügyféllel szemben az alábbiak szerint: A Hatóság a NAIH-7398-14/2023. iktatószámú végzésével Ügyféllel szemben háromszázezer forint eljárási bírságot szabott ki, mivel Ügyfél – a Hatóság megállapítása szerint – a szemle eredményes lefolytatását akadályozta. Ügyfél a Hatóság végzésével szemben keresetlevelet nyújtott be a Fővárosi Törvényszékhez, melynek eredményeképpen a bíróság a Hatóság végzését megsemmisítette. A Hatóság a NAIH-507-4/2023. iktatószámú végzésével Ügyféllel szemben háromszázötvenezer forint eljárási bírságot szabott ki, mivel Ügyfél – a Hatóság megállapítása szerint – önhibájából fakadóan a tényállás tisztázását akadályozta azzal, hogy a tényállás tisztázó végzésre – a meghosszabbított határidő ellenére – határidőben nem válaszolt. Ügyfél a Hatóság végzésével szemben keresetlevelet nyújtott be a Fővárosi Törvényszékhez. A Fővárosi Törvényszék a támadott végzést megsemmisítette és új eljárás lefolytatására kötelezte a Hatóságot. A Hatóság NAIH-507- 31/2023. számon – az új eljárása keretében – kettőszázötvenezer forint eljárási bírságot szabott ki Ügyféllel szemben. A Hatóság a NAIH-507-21/2023. iktatószámú végzésével Ügyféllel szemben ötszázezer forint eljárási bírságot szabott ki, mivel Ügyfél – a Hatóság megállapítása szerint – önhibájából fakadóan a tényállás tisztázását akadályozta azzal, hogy a tényállás tisztázó végzésre – a meghosszabbított határidő ellenére – határidőben nem válaszolt teljes körűen. Ügyfél a Hatóság e végzésével szemben is keresetlevelet nyújtott be a Fővárosi Törvényszékhez.\n\n## III. Alkalmazott jogszabályi rendelkezések\n\n(36) Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. (37) Az Infotv. 2. § (3) bekezdése szerint a személyes adatok bűnüldözési célú kezelésére e törvényt kell alkalmazni. (38) Az Infotv. 3. § 2. pontja alapján személyes adat az érintettre vonatkozó bármely információ.\n\n(39) Az Infotv. 3. § 4. pontja szerint bűnügyi személyes adat a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat.\n\n(40) Az Infotv. 3. § 9. pontja értelmében adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja.\n\n(41) Az Infotv. 3. § 10. pontja értelmében adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése. (42) Az Infotv. 3. § 10a. pontja értelmében bűnüldözési célú adatkezelés a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy ezen tevékenység keretei között és céljából ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is - végzett adatkezelése.\n\n(43) Az Infotv. 3. § 11. pontja szerint adattovábbítás az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele.\n\n(44) Az Infotv. 3. § 12. pontja értelmében a nyilvánosságra hozatal az adat bárki számára történő hozzáférhetővé tétele.\n\n(45) Az Infotv. 3.§ 26. pontja szerint adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi.\n\n(46) Az Infotv. 4. § (1) bekezdése szerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie. Ugyanezen szakasz (2) bekezdése értelmében csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas; a személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. A (3) bekezdés szerint a személyes adat az adatkezelés során mindaddig megőrzi e minőségét, amíg kapcsolata az érintettel helyreállítható. Az érintettel akkor helyreállítható a kapcsolat, ha az adatkezelő rendelkezik azokkal a technikai feltételekkel, amelyek a helyreállításhoz szükségesek. A (4a) bekezdés szerint az adatkezelés során arra alkalmas műszaki vagy szervezési így különösen az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisülésével vagy károsodásával szembeni védelmet kialakító – intézkedések alkalmazásával biztosítani kell a személyes adatok megfelelő biztonságát.\n\n(47) Az Infotv. 5. § (1) alapján személyes adat akkor kezelhető, ha a) azt törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.\n\n(2) Különleges adat a) az (1) bekezdés c)-d) pontjában meghatározottak szerint, vagy b) akkor kezelhető, ha az törvényben kihirdetett nemzetközi szerződés végrehajtásához feltétlenül szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűncselekmények megelőzése, felderítése vagy üldözése érdekében vagy honvédelmi érdekből törvény elrendeli.\n\n(48) Az Infotv. 5.§ (6) bekezdése szerint a különleges adatok kezelése esetén az adatkezelő, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó megfelelő műszaki és szervezési intézkedésekkel biztosítja, hogy az adatkezelési műveletek végzése során a különleges adatokhoz kizárólag az rendelkezzen hozzáféréssel, akinek az adatkezelési művelettel összefüggő feladatának ellátásához feltétlenül szükséges. (49) Az Infotv. 5.§ (7) bekezdése szerint a bűnügyi személyes adatok kezelése esetén – ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik – a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni. (50) Az Infotv 23. § (2) bekezdése szerint azt, hogy az adatkezelés a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírásoknak – így különösen a 2. § (3) bekezdésének hatálya alá tartozó adatkezelések esetén a 4. § (1)–(4a) bekezdésben meghatározott alapvető követelményeknek – megfelel, az adatkezelő, illetve az adatfeldolgozó köteles bizonyítani. (51) Az Infotv. 25/A. § (1) bekezdése rögzíti, hogy az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja.\n\n(2) Az (1) bekezdésben meghatározott intézkedéseket úgy kell kialakítani, hogy azok a) a tudomány és technológia mindenkori állásának és az intézkedések megvalósítása költségeinek figyelembevételével észszerűen elérhető módon a személyes adatok kezelésére vonatkozó követelmények, így különösen az adatkezelés alapelvei és az érintettek jogai hatékony érvényesülését szolgálják, valamint b) alkalmasak és megfelelőek legyenek annak biztosítására, hogy alapértelmezés szerint ba) kizárólag olyan és annyi személyes adat kezelésére kerüljön sor, olyan mértékben és időtartamban, amely az adatkezelés célja szempontjából szükséges, és bb) az adatkezelő által kezelt személyes adatok az érintett erre irányuló kifejezett akarata hiányában ne válhassanak nyilvánosan hozzáférhetővé.\n\nUgyanezen szakasz (3) bekezdése szerint, ha az adatkezelő adatvédelmi tisztviselő kijelölésére köteles, az (1) bekezdésben meghatározott intézkedések részeként az adatkezelő belső adatvédelmi és adatbiztonsági szabályzatot alkot meg és alkalmaz.\n\n(52) Az Infotv. 25/E. §-a szerint:\n\n(1) Az adatkezelő a kezelésében lévő személyes adatokkal kapcsolatos adatkezeléseiről, az adatvédelmi incidensekről és az érintett hozzáférési jogával kapcsolatos intézkedésekről nyilvántartást vezet (a továbbiakban együtt: adatkezelői nyilvántartás). Az adatkezelői nyilvántartásban az adatkezelő rögzíti a) az adatkezelő, ideértve minden egyes közös adatkezelőt is, valamint az adatvédelmi tisztviselő nevét és elérhetőségeit, b) az adatkezelés célját vagy céljait, c) személyes adatok továbbítása vagy tervezett továbbítása esetén az adattovábbítás címzettjeinek ideértve a harmadik országbeli címzetteket és nemzetközi szervezeteket – körét, d) az érintettek, valamint a kezelt adatok körét, e) profilalkotás alkalmazása esetén annak tényét, f) nemzetközi adattovábbítás esetén a továbbított adatok körét, g) az adatkezelési műveletek – ideértve az adattovábbítást is – jogalapjait, h) ha az ismert, a kezelt személyes adatok törlésének időpontját, i) az e törvény szerint végrehajtott műszaki és szervezési biztonsági intézkedések általános leírását, j) az általa kezelt adatokkal összefüggésben felmerült adatvédelmi incidensek bekövetkezésének körülményeit, azok hatásait és a kezelésükre tett intézkedéseket, k) az érintett hozzáférési jogának érvényesítését e törvény szerint korlátozó vagy megtagadó intézkedésének jogi és ténybeli indokait.\n\n(2) Az adatfeldolgozó az általa az egyes adatkezelők megbízásából vagy rendelkezése szerint végzett adatkezeléseiről nyilvántartást vezet (a továbbiakban: adatfeldolgozói nyilvántartás). Az adatfeldolgozói nyilvántartásban az adatfeldolgozó rögzíti:\n\na) az adatkezelő, az adatfeldolgozó, a további adatfeldolgozók, valamint az adatfeldolgozó adatvédelmi tisztviselőjének nevét és elérhetőségeit;\n\nb) az adatkezelő megbízásából vagy rendelkezése szerint végzett adatkezelések típusait;\n\nc) az adatkezelő kifejezett utasítására történő nemzetközi adattovábbítás esetén a nemzetközi adattovábbítás tényét, valamint a címzett harmadik ország vagy nemzetközi szervezet megjelölését;\n\nd) az e törvény szerint végrehajtott műszaki és szervezési biztonsági intézkedések általános leírását.\n\n(3) Az adatkezelői és az adatfeldolgozói nyilvántartást írásban vagy elektronikus úton rögzített formában kell vezetni és azt – kérésére – a Hatóság rendelkezésére kell bocsátani.\n\n(53) Az Infotv. 25/F. § (1) bekezdése alapján a személyes adatokkal elektronikus úton végzett adatkezelési műveletek jogszerűségének ellenőrizhetősége céljából az adatkezelő és az adatfeldolgozó automatizált adatkezelési rendszerben (a továbbiakban: elektronikus napló) rögzíti a) az adatkezelési művelettel érintett személyes adatok körének meghatározását, b) az adatkezelési művelet célját és indokát, c) az adatkezelési művelet elvégzésének pontos időpontját, d) az adatkezelési műveletet végrehajtó személy megjelölését, e) a személyes adatok továbbítása esetén az adattovábbítás címzettjét.\n\n(2) Az elektronikus naplóban rögzített adatok kizárólag az adatkezelés jogszerűségének ellenőrzése, az adatbiztonsági követelmények érvényesítése, továbbá büntetőeljárás lefolytatása céljából ismerhetőek meg és használhatóak fel.\n\n(3) Az elektronikus naplóhoz a Hatóság, továbbá a (2) bekezdésben meghatározott célból jogszabályban meghatározott tevékenységet folytató személy és szervezet részére - azok erre irányuló kérelmére - az adatkezelő és az adatfeldolgozó hozzáférést biztosít, abból részükre adatot továbbít.\n\n(4) Az adatkezelői és az adatfeldolgozói nyilvántartásban, valamint az elektronikus naplóban rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni. (54) Az Infotv. 25/I. § (1) bekezdése rögzíti, hogy az adatkezelő és az adatfeldolgozó a kezelt személyes adatok megfelelő szintű biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető – így különösen az érintettek különleges adatainak kezelésével járó – kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket tesz. A (2) bekezdés szerint az (1) bekezdésben meghatározott intézkedések kialakítása és végrehajtása során az adatkezelő és az adatfeldolgozó figyelembe veszi az adatkezelés összes körülményét, így különösen a tudomány és a technológia mindenkori állását, az intézkedések megvalósításának költségeit, az adatkezelés jellegét, hatókörét és céljait, továbbá az érintettek jogainak érvényesülésére az adatkezelés által jelentett változó valószínűségű és súlyosságú kockázatokat. A (3) bekezdés szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja a) az adatkezeléshez használt eszközök (a továbbiakban: adatkezelő rendszer) jogosulatlan személyek általi hozzáférésének megtagadását, b) az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását, c) az adatkezelő rendszerbe a személyes adatok jogosulatlan bevitelének, valamint az abban tárolt személyes adatok jogosulatlan megismerésének, módosításának vagy törlésének megakadályozását, d) az adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozását, e) azt, hogy az adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben meghatározott személyes adatokhoz férjenek hozzá, f) azt, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely címzettnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésére, g) azt, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat, mely időpontban, ki vitt be az adatkezelő rendszerbe, h) a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását, i) azt, hogy üzemzavar esetén az adatkezelő rendszer helyreállítható legyen, valamint j) azt, hogy az adatkezelő rendszer működőképes legyen, a működése során fellépő hibákról jelentés készüljön, továbbá a tárolt személyes adatokat a rendszer hibás működtetésével se lehessen megváltoztatni.\n\n(55) Az Infotv. 25/J. § (1) bekezdése szerint az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt adatokkal összefüggésben felmerült adatvédelmi incidens kapcsán rögzíti az (5) bekezdés a), c) és d) pontja szerinti adatokat, valamint az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Hatóságnak.\n\n(2) Az adatvédelmi incidenst nem kell bejelenteni, ha valószínűsíthető, hogy az nem jár kockázattal az érintettek jogainak érvényesülésére.\n\n(3) Ha az adatkezelő az (1) bekezdésben meghatározott bejelentési kötelezettséget akadályoztatása miatt határidőben nem teljesíti, azt az akadály megszűnését követően haladéktalanul teljesíti, és a bejelentéshez mellékeli a késedelem okait feltáró nyilatkozatát is.\n\n(4) Ha az adatvédelmi incidens az adatfeldolgozó tevékenységével összefüggésben merült fel vagy azt egyébként az adatfeldolgozó észleli, arról – az adatvédelmi incidensről való tudomásszerzését követően – haladéktalanul tájékoztatja az adatkezelőt.\n\n(5) Az (1) bekezdésben meghatározott bejelentési kötelezettség keretei között az adatkezelő a) ismerteti az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek körét és hozzávetőleges számát, valamint az incidenssel érintett adatok körét és hozzávetőleges mennyiségét, b) tájékoztatást nyújt az adatvédelmi tisztviselő vagy a további tájékoztatás nyújtására kijelölt más kapcsolattartó nevéről és elérhetőségi adatairól, c) ismerteti az adatvédelmi incidensből eredő, valószínűsíthető következményeket, és d) ismerteti az adatkezelő által az adatvédelmi incidens kezelésére tett vagy tervezett – az adatvédelmi incidensből eredő esetleges hátrányos következmények mérséklését célzó és egyéb intézkedéseket.\n\n(6) Ha az (5) bekezdés a)–d) pontjában foglalt valamely információ a bejelentés időpontjában nem áll az adatkezelő rendelkezésére, azzal az adatkezelő a bejelentést annak benyújtását követően utólag – az információ rendelkezésre állásáról való tudomásszerzését követően haladéktalanul kiegészíti.\n\n(8) Az (1) bekezdésben meghatározott bejelentési kötelezettséget az adatkezelő – a minősített adatot tartalmazó bejelentés kivételével – a Hatóság által e célra biztosított elektronikus felületen teljesíti.\n\n(56) Az Infotv. 25/K. § (1) Ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (a továbbiakban: magas kockázatú adatvédelmi incidens), a nemzetbiztonsági célú adatkezelés kivételével az adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja.\n\n(2) Az adatkezelő mentesül az érintett (1) bekezdésben foglaltak szerinti tájékoztatásának kötelezettsége alól, ha a) az adatkezelő az adatvédelmi incidenssel érintett adatok tekintetében az adatvédelmi incidenst megelőzően megfelelő – így különösen az adatokat a jogosulatlan személy általi hozzáférés esetére értelmezhetetlenné alakító, azok titkosítását eredményező – műszaki és szervezési védelmi intézkedéseket alkalmazott, b) az adatkezelő az adatvédelmi incidensről való tudomásszerzését követően alkalmazott intézkedésekkel biztosította, hogy az adatvédelmi incidens folytán az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következmények valószínűsíthetően nem következnek be, c) az érintett (1) bekezdés szerinti közvetlen tájékoztatása csak az adatkezelő aránytalan erőfeszítésével lenne teljesíthető, ezért az adatkezelő az érintettek részére az adatvédelmi incidenssel összefüggő megfelelő tájékoztatást bárki által hozzáférhető módon közzétett információk útján biztosítja, vagy d) törvény – a (6) bekezdésben meghatározottak szerint – a tájékoztatást kizárja.\n\n(3) Az (1) bekezdésben meghatározott tájékoztatási kötelezettség keretei között az adatkezelő világosan és közérthetően ismerteti az adatvédelmi incidens jellegét, valamint az érintett rendelkezésére bocsátja a 25/J. § (5) bekezdés b), c) és d) pontjában meghatározott információkat.\n\n(4) Ha a Hatóság a 25/J. § (1) bekezdésében foglaltak szerint teljesített bejelentés alapján azt állapítja meg, hogy az adatvédelmi incidens magas kockázata miatt az érintett tájékoztatása szükséges, az adatkezelő az általa még nem teljesített, az (1) bekezdésben foglalt tájékoztatási kötelezettségét e megállapítást követően haladéktalanul teljesíti.\n\n(5) Nem köteles az adatkezelő az (1) bekezdésben foglalt tájékoztatási kötelezettség teljesítésére, ha a Hatóság a 25/J. § (1) bekezdésében foglaltak szerint teljesített bejelentés alapján a (2) bekezdés a)–d) pontjában meghatározott körülmény fennállását állapítja meg.\n\n(6) Az (1)–(5) bekezdésben meghatározottaktól eltérően törvény az érintett tájékoztatását a 16. § (3) bekezdésben foglalt feltételekkel és okokból kizárhatja, korlátozhatja vagy a tájékoztatás késleltetett teljesítését írhatja elő.\n\n(57) A közterület-felügyeletről szóló 1999. évi LXIII. törvény (a továbbiakban: Kftv.) 7. § (1) A felügyelő a jogszabályban meghatározott feladatait a felügyelet illetékességi területén látja el.\n\n(2) A felügyelő az intézkedésével érintett személyről, az intézkedése vagy az eljárása szempontjából lényeges környezetről és körülményről, tárgyról képfelvételt, hangfelvételt, kép- és hangfelvételt (a továbbiakban együtt: felvétel) készíthet.\n\n(3) A felügyelet közterületen, közbiztonsági, illetve bűnmegelőzési célból, bárki számára nyilvánvalóan észlelhető módon képfelvevőt helyezhet el, és felvételt készíthet. A képfelvevő elhelyezéséről, valamint a képfelvevővel megfigyelt közterület kijelöléséről a felügyelet előterjesztésére a képviselő-testület dönt.\n\n(4) A képfelvevőt a felügyelet üzemelteti és kezeli. A felügyelet a képfelvevők elhelyezéséről és a képfelvevők által megfigyelt közterületről tájékoztatja a rendőrséget, valamint ezeket az adatokat a felügyeletet működtető önkormányzat polgármesteri hivatalának honlapján közzéteszi.\n\n(5) A képfelvevő által megfigyelt területre belépő személyek tájékoztatását elősegítő módon figyelemfelhívó jelzést, ismertetést kell elhelyezni a képfelvevők elhelyezéséről, az adatkezelés tényéről.\n\n(5a) A felügyelet jogszabályban meghatározottak szerint együttműködik a Kormány által kijelölt központi tárhelyszolgáltatóval. A (3) bekezdésben meghatározott felvételt – amennyiben annak műszaki és technikai feltételei adottak – a felügyelet a Kormány által kijelölt központi tárhelyszolgáltató által biztosított tárhelyen rögzíti.\n\n(6) A (2) és (3) bekezdésben foglaltak alapján készített felvétel a rögzítés helyszínén a) elkövetett bűncselekmény vagy szabálysértés miatt indult eljárásban, b) elkövetett jogsértés miatt indított közigazgatási hatósági eljárásban, c) végzett felügyelői intézkedés jogszerűségének megállapítására irányuló közigazgatási hatósági eljárásban, továbbá d) a felvételen szereplő személy által, jogainak gyakorlása érdekében indított eljárásban használható fel.\n\n(6a) A (3) bekezdésben meghatározott felvétel a) a terrorcselekmények vagy más bűncselekmények megelőzése, felderítése és megszakítása céljából, b) a nemzetbiztonsági védelmi és elhárítási, információszerzési, továbbá nemzetbiztonsági, iparbiztonsági, belső biztonsági és bűnmegelőzési ellenőrzési feladatok ellátása céljából, c) a katasztrófavédelmi, tűzvédelmi hatósági feladatok ellátása céljából, illetve d) körözött személy vagy tárgy azonosítása érdekében is felhasználható.\n\n(7) A felügyelet a) a (2) bekezdés alapján rögzített felvételt a rögzítést követő harminc nap elteltével, b) a (3) bekezdés alapján rögzített felvételt a rögzítést követő harminc nap elteltével haladéktalanul törli.\n\n(8) A felügyelő a feladatkörébe tartozó eljárást a felvétel rögzítésétől számított két munkanapon belül köteles megindítani, vagy kezdeményezni az eljárásra jogosult szervnél vagy hatóságnál a hatáskörébe tartozó eljárás megindítását. Ha a felügyelő kezdeményezésére az eljárásra jogosult szerv vagy hatóság az eljárását megindította, és erről a felügyelőt a (7) bekezdésben meghatározott határidőn belül tájékoztatta, a felügyelő a rögzített felvételt az eljárásra jogosult szerv vagy hatóság részére történő továbbításáig kezelheti azzal, hogy az adatkezelés időtartama nem haladhatja meg a harminc napot.\n\n(9) Ha a felvételen szereplő személy a (6) bekezdés d) pontja szerint jogainak érvényesítésére eljárást indított, részére az adatkezelési határidőn belül benyújtott kérelemre a felvételt továbbítani kell.\n\n(10) Ha a rögzített felvételt a felügyelő az eljárásra jogosult szerv, hatóság megkeresésére vagy a felvételen szereplő személy kérelmére továbbította, a felvételt a továbbítással egyidejűleg törölni kell.\n\nA Kftv. 7/A. § (1) bekezdése szerint a felügyelet a felvétel kezelése során köteles megtenni az ahhoz szükséges szervezési, technikai és egyéb adatbiztonsági intézkedéseket, hogy az érintett személy személyes adatait, így különösen magántitkait és magánéletének körülményeit illetéktelen személy tudomására jutásától megóvja. A felügyeletnek biztosítani kell továbbá, hogy a felvételen szereplő személy – a felvétel törlésének időpontjáig – megtekinthesse a róla készült felvételt.\n\n(2) A rögzített felvételt a felügyelő a 7. § (6) bekezdésében foglalt felhasználási célból – bizonyítási eszközként – a szabálysértési eljárásra jogosult szerv, illetve büntetőeljárásban a bíróság, az ügyészség, a nyomozó hatóság, az előkészítő eljárást folytató szerv megkeresésére vagy adatkérésére továbbíthatja. A megkeresésben vagy adatkérésben meg kell jelölni az eljárás tárgyát, ügyszámát és a rögzített felvétellel bizonyítandó tényt.\n\n(3) Közigazgatási hatósági eljárásban az eljáró hatóság megkeresésére a (2) bekezdés szerint rögzített felvétel továbbítható, ha a megkereső hatóság a megkeresésben az eljárás tárgyát, ügyszámát és a rögzített felvétellel bizonyítandó tényt megjelöli.\n\n(3a) A rögzített felvételt a felügyelő a rendőrség, a nemzetbiztonsági szolgálat, a hivatásos katasztrófavédelmi szerv részére megkeresésük esetén továbbítja a 7. § (6a) bekezdésében meghatározott célból.\n\n(4) A rögzített felvétel továbbítására irányuló megkeresést meg kell tagadni akkor is, ha a felvétel a megkeresésben meghatározott tény bizonyítására alkalmatlan.\n\n(5) Akinek jogát vagy jogos érdekét a felvétellel rögzített esemény, cselekmény vagy intézkedés érinti, a 7. § (6) bekezdésében meghatározott célból kérheti, hogy a felvételt a felügyelet annak továbbításáig, de legfeljebb a kérelem benyújtását követő harminc napig ne törölje.\n\n(6) A rögzített felvételen szereplő személy részére az adattovábbításról adott tájékoztatás költségmentes.\n\nA Kftv. 8. § (1) bekezdése szerint, ha a települési önkormányzatnál közterület-felügyelet vagy közterület-felügyelő nem működik, a 7. § (3) bekezdésében meghatározott képfelvevőt a jegyző, vagy a képviselő-testület által kijelölt, a települési önkormányzat alkalmazásában álló köztisztviselő is üzemeltetheti és kezelheti.\n\n(2) Az (1) bekezdésben meghatározott esetben a képfelvevő kihelyezésére, üzemeltetésére, az adatkezelésre, a felvétel felhasználására és továbbítására, valamint a Kormány által kijelölt központi tárhelyszolgáltatóval való együttműködésre a 7. § és a 7/A. § rendelkezéseit megfelelően alkalmazni kell.\n\n(58) Az Infotv. 60/A.§ (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. (59) Az Infotv. 61. § (1) bekezdés b) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben megállapíthatja a személyes adatok jogellenes kezelésének tényét, elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, megtilthatja a személyes adatok jogellenes kezelését, megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen tagadta meg, valamint bírságot szabhat ki. (60) Az Infotv. 61. § (4) bekezdése a) pontja szerint a bírság mértéke százezertől húszmillió forintig terjedhet. Az Infotv. 61.§ (5) bekezdése alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1) bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést.\n\n(61) Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.\n\n(62) Az Infotv. 71. § (1) bekezdése értelmében a Hatóság eljárása során – az annak lefolytatásához szükséges mértékben és ideig – kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. A (2) bekezdés szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. (63) Az Ákr. 28. §-a szerint:\n\n(1) A hatóság kérelemre vagy hivatalból elrendeli az ügyfél illetve az eljárás egyéb résztvevője természetes személyazonosító adatainak és lakcímének zárt kezelését, ha a) őt az eljárásban való közreműködése miatt súlyosan hátrányos következmény érheti, vagy b) ugyanazon tényállás alapján a jogerősen vagy véglegesen lezárt, vagy párhuzamosan zajló és a hatóság előtt ismert más bírósági vagy hatósági eljárásban az ügyfél vagy az eljárás egyéb résztvevője adatainak zárt kezelését rendelték el.\n\n(2) A szakértő az (1) bekezdésben foglaltak szerint az igazságügyi szakértői névjegyzék nyilvános adatain kívüli természetes személyazonosító adatai és lakcíme zárt kezelését kérheti.\n\n(3) A hatóság a) az adatok zárt kezeléséről szóló végzést kizárólag azzal közli, akinek adatai zárt kezelését elrendelte, b) a természetes személyazonosító adatokat és a lakcímet az ügy iratai között elkülönítve, zártan kezeli és c) biztosítja, hogy a zártan kezelt adatok az eljárási cselekmények során ne váljanak megismerhetővé.\n\n(64) Az Ákr. 103. § (1) bekezdése alapján a hivatalból indult hatósági eljárásban az Ákr-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. VII. fejezetében foglalt eltérésekkel kell alkalmazni.\n\n(65) Az Ákr. 104. § (1) bekezdés a) pont szerint a hatóság az illetékességi területén hivatalból megindítja az eljárást, ha az eljárás megindítására okot adó körülmény jut a tudomására, ugyanezen § (3) bekezdése szerint a hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfelet a hatóság értesíti.\n\n(66) Az Ákr. 103. § (4) bekezdése értelmében, ha a hatóság a hivatalbóli eljárásban az ügyintézési határidő kétszeresét túllépi, a jogsértés tényének megállapításán és a jogellenes magatartás megszüntetésére vagy a jogszerű állapot helyreállítására kötelezésen túl egyéb jogkövetkezményt nem alkalmazhat. Ez esetben ugyanazon ügyféllel szemben, ugyanazon ténybeli és jogi alapon nem indítható új eljárás. (67) Az Ibtv. 2. § (1) bekezdése értelmében az Ibtv. hatálya kiterjed a helyi önkormányzatok képviselőtestületének hivatalaira.\n\n(68) Az Ibtv. 5. §-a szerint Ibtv. hatálya alá tartozó elektronikus információs rendszerek teljes életciklusában meg kell valósítani és biztosítani kell a) az elektronikus információs rendszerben kezelt adatok és információk bizalmassága, sértetlensége és rendelkezésre állása, valamint b) az elektronikus információs rendszer és elemeinek sértetlensége és rendelkezésre állása, a poszt-kvantumtitkosítás alkalmazásra kötelezett szervezetek esetén a fizikailag elkülönített helyszíneik közötti kormányzati célú hálózaton, továbbá a publikus internet felületen zajló, az elektronikus hírközlési törvény szerinti szolgáltató igénybevételével vagy egyéb információs társadalommal összefüggő szolgáltatásaik igénybevétele során a hagyományos kriptográfiai alkalmazáson felüli biztonságot nyújtó poszt-kvantum titkosítási alkalmazással történő zárt, teljes körű, folytonos és kockázatokkal arányos védelmét.\n\n(69) Az Ibtv. 6. §-a szerint az elektronikus információs rendszernek az 5. §-ban meghatározott feltételeknek megfelelő védelme körében a szervezetnek külön jogszabályban előírt logikai, fizikai és adminisztratív védelmi intézkedéseket kell meghatároznia, amelyek támogatják:\n\na) a megelőzést és a korai figyelmeztetést, b) az észlelést, c) a reagálást, d) a biztonsági események kezelését.\n\n(70) Az Ibtv. 7. §-a az elektronikus információs rendszerek biztonsági osztályba sorolásának feltételeiről rendelkezik. bekezdése értelmében az Ibtv. hatálya kiterjed a helyi önkormányzatok képviselőtestületének hivatalaira. (71) Az Ibtv. 11. § (1)-a szerint a szervezet vezetője köteles gondoskodni az elektronikus információs rendszerek védelméről a következők szerint:\n\na) biztosítja az elektronikus információs rendszerre irányadó biztonsági osztály tekintetében a jogszabályban meghatározott követelmények teljesülését, b) biztosítja a szervezetre irányadó biztonsági szint tekintetében a jogszabályban meghatározott követelmények teljesülését, c) az elektronikus információs rendszer biztonságáért felelős személyt nevez ki vagy bíz meg, f) meghatározza a szervezet elektronikus információs rendszerei védelmének felelőseire, feladataira és az ehhez szükséges hatáskörökre, felhasználókra vonatkozó szabályokat, illetve kiadja az informatikai biztonsági szabályzatot, g) gondoskodik az elektronikus információs rendszerek védelmi feladatainak és felelősségi köreinek oktatásáról, saját maga és a szervezet munkatársai információbiztonsági ismereteinek szinten tartásáról, h) rendszeresen végrehajtott biztonsági kockázatelemzések, ellenőrzések, auditok lefolytatása révén meggyőződik arról, hogy a szervezet elektronikus információs rendszereinek biztonsága megfelel-e a jogszabályoknak és a kockázatoknak, i) gondoskodik az elektronikus információs rendszer eseményeinek nyomon követhetőségéről, j) biztonsági esemény bekövetkezésekor minden szükséges és rendelkezésére álló erőforrás felhasználásával gondoskodik a biztonsági eseményre történő gyors és hatékony reagálásról, és ezt követően a biztonsági események kezeléséről, k) ha az elektronikus információs rendszer létrehozásában, üzemeltetésében, auditálásában, karbantartásában vagy javításában közreműködőt vesz igénybe, gondoskodik arról, hogy az e törvényben foglaltak szerződéses kötelemként teljesüljenek, * l) ha a szervezet az adatkezelési vagy az adatfeldolgozási tevékenységhez közreműködőt vesz igénybe, gondoskodik arról, hogy az e törvényben foglaltak szerződéses kötelemként teljesüljenek, m) felelős az érintetteknek a biztonsági eseményekről és a lehetséges fenyegetésekről történő haladéktalan tájékoztatásáért, n) megteszi az elektronikus információs rendszer védelme érdekében felmerülő egyéb szükséges intézkedéseket.\n\n(2) Az (1) bekezdésben meghatározott feladatokért a szervezet vezetője az (1) bekezdés k) és l) pontjában meghatározott esetben is felelős, kivéve azokat az esetköröket, amikor jogszabály által kijelölt központosított informatikai és elektronikus hírközlési szolgáltatót, illetve központi adatkezelőt és adatfeldolgozó szolgáltatót kell a szervezetnek igénybe venni.\n\nI.\n\n## Megállapítások, döntés\n\n## III.1. A közterületi térfigyelő rendszer alkalmazásának jogszabályi feltételei\n\n(72) A Kftv. értelmező rendelkezése szerint közterület a közhasználatra szolgáló minden olyan állami vagy önkormányzati tulajdonban álló terület, amelyet rendeltetésének megfelelően bárki használhat, ideértve a közterületnek közútként szolgáló és a magánterületnek a közforgalom számára a tulajdonos (használó) által megnyitott és kijelölt részét, továbbá az a magánterület, amelyet azonos feltételekkel bárki használhat. (73) A Kftv. 7-8.§-ában foglalt jogszabályi rendelkezések alapján megállapítható, hogy közterületi kamera által rögzített felvételek megismerésére, azokkal való rendelkezésre egyértelmű és szigorú szabályok vonatkoznak a tekintetben, hogy ki jogosult adatkezelési műveletek végzésére. A települési polgármester nem minősül olyan személynek, aki jogszerűen rendelkezhet a felvételekkel kapcsolatban. A felvételek továbbítására szintén csak szűk körben és célhoz kötötten van törvényes lehetőség. Hangfelvétel készítésére pedig kizárólag az intézkedő felügyelő – valamely konkrét intézkedésével érintett személyről, az intézkedésével, eljárásával kapcsolatos környezetről, körülményről, tárgyról - jogosult, így közterületi, illetve közforgalom számára megnyitott magánterületen elhelyezett kamera nem rögzíthet hangot.\n\n## III.2. A térfigyelő rendszerrel megvalósuló adatkezelés során feltárt, jogsértő hiányosságok\n\n## III.2.1. Adatkezelői minőség, adatkezelő személye\n\n(74) Az adatkezelő törvényi fogalma alapján az adatkezelői minőség ismérve, hogy adatkezelő az, aki önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. Érdemi döntésnek tekinthető az adatkezelés jogalapjáról és az adatkezelés időtartamáról való döntés, a kezelt adatok körének meghatározása, az adatkezelés módjának kialakítása és annak végrehajtása, a személyes adatokhoz való hozzáférésről szóló döntés, az adattovábbításról történő döntés, a személyes adatok felhasználása más adatkezelési célból és az alapvető adatbiztonsági intézkedések meghozatalára vonatkozó döntés. (75) Tehát az adatkezelésre vonatkozó döntések körébe tartozik például annak elhatározása, hogy egy szervezet bizonyos célból adatkezelést fog végezni. Ugyanígy az arra vonatkozó döntések is, hogy a térfigyelő kamerákkal mely területeket figyeljék meg, milyen kamerarendszert használjanak, milyen időtartamban kezelik az adatokat, kik jogosultak az adatokhoz hozzáférésre, milyen adatbiztonsági intézkedéseket alkalmaznak, igénybe vesznek-e és pontosan milyen tevékenységi körben adatfeldolgozót. Adatkezelésre vonatkozó döntés továbbá maga az adatkezelési műveletek végrehajtása (pl: visszanézés, mentés, továbbítás, felhasználás, törlés). (76) Nem jön létre közös adatkezelés, amennyiben az adatkezelésben részt vevő adatkezelők önállóan, a többi adatkezelőtől függetlenül határozzák meg az adatkezelés körülményeit, illetve hozzák meg és hajtják végre az érdemi döntéseket. Így nem jön létre közös adatkezelői minőség, ha ugyanazon személyes adatokat más-más célból, önállóan használják fel az egyes adatkezelők. Tehát amennyiben ugyanazon kamerarendszert és ugyanazon felvételeket használja fel több adatkezelő, azonban külön hoznak érdemi döntéseket, úgy önálló adatkezelőknek minősülnek.\n\n(77) A Város Önkormányzatának Képviselő-testületének döntése – 118/2015. (V. 26.) Kt. határozat alapján a Város közigazgatási területén közterületi térfigyelő-rendszer működik. A térfigyelő-rendszer üzemeltetését a Képviselő-testület 19/2016. (IX. 30.) önkormányzati rendelete és Ügyfél Közterületi Térfigyelő Rendszerének Adatvédelmi, Üzemeltetési és Adatbiztonsági Szabályzata szabályozza.\n\n(78) A Hatóság mindezek alapján kétség nélkül megállapította, hogy a Rendszer – beleértve a MÁV-HÉV\n\nZrt. kamerái által rögzített felvételeket is – adatkezelője Ügyfél. Ügyfél adatkezelési jogalapja az Infotv. és a Kftv. rendelkezésein alapszik; továbbá Ügyfél érdemi döntéseket hozott a MÁV-HÉV Zrt. által rögzített kameraképek vonatkozásában, hiszen nem vitatottan ezen felvételeket is tárolja saját kamerarendszerében, adott esetben visszanézi azokat, adattovábbítást végez a Rendőrség felé is, a Kftv. felhatalmazása alapján, annak szabályainak megfelelően.\n\n## III.2.2. A 2020. június 16. napján a Facebook közösségi oldalon a Polgármesteri profil által közzétett adatok (1.1. és 1.3.)\n\n## (79) A Hatóság által folytatott vizsgálati eljárás alapjául szolgáló bejelentés hivatkozott, Ügyfél közterületi kamerarendszere által kezelt, 2020. június 16. napján nyilvánosságra került felvétel kikerülésének körülményeire, ehhez kapcsolódóan a kamerarendszer Ügyfél általi kezelésének módjára, továbbá az adatkezeléssel érintett személyek tájékoztatását célzó, a kamerák működésére irányuló figyelemfelhívás – bejelentő által kifogásolt – módjára, valamint a\n\nvonatkozó adatvédelmi szabályzatban foglaltak vizsgálatára irányult. (80) Az (1) és (3) bekezdésben rögzített, a Polgármesteri profil általi közzététel az adatbiztonsági és adatvédelmi szabályok megsértéséből fakadt, így különösen abból a súlyosan jogsértő – Ügyfél által közölt és elismert – gyakorlatból, hogy “a helyben kialakult szokások miatt, feljelentés tétele céljából fért hozzá a Polgármester felvételhez a közterület-felügyelők által, a feljelentéshez használt felvétel erejéig az erre elkülönített, jogosultsággal elérhető meghajtón keresztül“. Ügyfél ezen eljárás jogalapjaként a Város jogos érdekét, a szemét lerakásával megvalósult jogellenes károkozás elleni fellépést és a bűncselekmények feljelentését jelölte meg. Ugyanakkor a konkrét esetben nem a Polgármester tett feljelentést, hanem a közterület-felügyelők; a Polgármester pedig – Ügyfél állítása szerint – “hallomásból“ értesült a felvételen rögzített személy településszintű címéről mint személyes adatról. A felvétel kimentése nem került naplózásra; továbbá a felvételen szereplő személygépkocsi rendszámának beazonosítására – indokolatlan, a feljelentés megtételéhez szükségtelen módon – “próbálgatással” került sor, egy a közterület-felügyelők által, az illegális szemétlerakás miatti feljelentéstől eltérő célból hozzáférhető nyilvántartásból. Ügyfél a jelen eljárás előzményeként folytatott vizsgálati eljárásban is elismerte, hogy a felvétel kimentése nem került naplózásra, ezzel megsértve az Infotv. 25/E. § (3) bekezdését, valamint a 25/F. § (1) és (4) bekezdésében foglaltakat. Ezt a Hatóság által jelen hatósági eljárás keretében foganatosított helyszíni szemle is alátámasztotta, mert az annak során lementett log fájlok között sem szerepelt a felvétellel kapcsolatos adat. Ügyfél nem tett eleget az Infotv. 23. § (2) bekezdésében foglalt kötelezettségének (elszámoltathatóság elve), hiszen az adatkezelés törvényi megfelelését nem támasztotta alá azzal, hogy eljárását a helyben kialakult szokásokkal magyarázta. A vizsgálati eljárás során az adatkezelési műveletek hiányos, nem megfelelő naplózása tekintetében feltárt helyzet a jelen eljárásban lefolytatott szemle idején, illetve jelen eljárás során vizsgált felvételek kezelése tekintetében továbbra is fennállt, annak ellenére, hogy adatkezelő a vizsgálati eljárás megállapításai alapján már tudomást szerzett-e hiányosságról. Sőt adatkezelő a vizsgálati eljárás során arról nyilatkozott, hogy a jövőben az általa készítendő szabályzatban meghatározott, jelen határozat tényállási részében kifejtett módon történik majd a kamerafelvételekhez kapcsolódó adatkezelési műveletek naplózása. Ügyfél ugyanígy, már e 2020. június 16. napján a Facebook közösségi oldalon a Polgármesteri profil által közzétett felvétel kapcsán folytatott vizsgálati eljárásban a Hatóság által tett megállapítások alapján tudomással bírhatott arról, hogy Polgármester hozzáférése a közterületi kamerarendszer által készített felvételekhez jogszerűtlen. Továbbá a Hatóság ezen eljárás keretében felhívta Ügyfelet, hogy fordítson különös figyelmet a naplózási eljárásra és az adatbiztonsági intézkedések kialakítására [(4) bekezdés].\n\n## III.2.3. Közterületi kamerafelvételek tárolása Ügyfél szerverén, valamint hangot is rögzítő felvételekkel történő adatkezelés (1.1. és 1.2.)\n\n(81) Ügyfél – jelen, 2022. szeptember 14. napján indított hatósági eljárás során – nem volt képes igazolni\n\n– (34) bekezdés – a Directory: C:\\SHARES\\kabinet\\Ecsi\\Pendrive elérési útvonalon tárolt, a kamera által 2022. április 13-án rögzített 1, valamint a kamerák által 2022. március 30-án rögzített 3 felvételfolyam kezelésének konkrét célját és a Kftv. szerinti törvényes tárolási idő (30, bizonyos esetekben 60 nap) több hónappal történő túllépésének okát. A megjelölt fájloknak a zárt kamerarendszeren kívüli, az Ügyfél egyéb szerverén történő, a törvényes megőrzési időt meghaladó tárolásának célját és okát – Ügyfél nyilatkozata szerint – a belső vizsgálat nem tudta kideríteni. Az adatkezelési célra utólag a bűnüldözési célt, a jogalapra az Ügyfél az Infotv. 5. §. (1) bekezdés a) pontját jelölte meg. A felvételek felhasználásáról Jegyzőnek nincs tudomása. A fentiek alapján a Hatóság megállapította, hogy Ügyfél a (26) és (34) bekezdésben megjelölt 4 felvételfolyam törvényben meghatározott határidőn túl történő kezelésével megsértette az Infotv. 4. § (1)-(2) bekezdését, miszerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie; csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. Személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. Ezen felvételek – a Kftv-ben meghatározott őrzési időn túl, a zárt kamerarendszeren kívüli tárhelyen lévő, jogszerű cél nélküli kezelésével sérült a célhoz kötött adatkezelés elve, egyben megsértve az Infotv. 23. § (2) bekezdésében foglalt elszámoltathatóság alapelvét is, hiszen nem volt képes számot adni arról, hogy a zárt kamerarendszerből milyen célból, mely személy által, mikor kerültek kimentésre és a másik szerveren történő tárolásra a fent említett felvételek, azaz nem tudta igazolni ezen adatkezelés jogszerűségét. (82) A lefolytatott bizonyítási eljárás alapján – (23) és (25) bekezdés – nem nyert visszaigazolást Ügyfél (3) bekezdésben rögzített azon előadása, hogy a térfigyelő-rendszer felvételeit egy zárt hálózaton tárolják, az intézkedést igénylő felvételeket pedig egy külön meghajtón, és e külön meghajtón lévő felvételekhez pedig egy szűk körnek van kizárólag hozzáférése. A FLASH-COM Kft. nyilatkozata és az általa küldött dokumentumok alapján, a 2022-ben keletkezett, FLASH-COM által azonosított, közterületi kamerafelvételeket tartalmazó mp4 fájlokat tároló mappához hozzáférő személyek köre nem korlátozódik csak a felvételekhez hozzáférésre jogosultak körére, hiszen szélesebb – a jegyző és a közterület-felügyelő személyét meghaladó – az a személyi kör, amely jogosultsággal rendelkezett/rendelkezik a felvételekhez. A mappához az egyetlen közterület-felügyelőn, a jegyzőn és a korábbi jegyzőn túl, további 10 személy fért hozzá. Az kétséget kizáróan megállapítható, hogy jogosulatlan a hozzáférése e személyi körből a polgármesternek, az asszisztensének […]-nak, egy osztályvezetőnek, valamint egy további olyan munkatársnak […]-nak, aki a vizsgált időszakban nem közterület-felügyelőként dolgozott Ügyfél személyi állományában. A további 6 jogosultsággal bíró személy tekintetében sem igazolta Ügyfél, hogy közterület-felügyelők lettek volna korábban és ily módon jogszerű lett volna a felvételekhez való korábbi hozzáférésük. Sem a Polgármester, sem további a felvételek kezelésére nem jogosult személyek hozzáférése nem felel meg a Ktftv. 7. § (3), 7/A. § (1) és (2) és a 8. § (1) bekezdésében foglalt lex specialis szabályozásnak, ezáltal figyelemmel az Ibtv. 5. § a) pontjában foglaltakra – súlyosan sértve az Infotv. 25/I. § (3) bekezdés a), b) és c) pontját és az Ibtv. 5. § a) pontjában foglaltakat, mely egyúttal az Infotv. 25/A § (1) bekezdésében foglalt általános adatkezelői feladatok teljesítésének sérelmével jár. Sérül az Infotv. 25/A § (2) bekezdés b) pont ba) alpontja is, hiszen nem kizárólag olyan és annyi személyes adat kezelésére került sor, olyan mértékben és időtartamban, amely az adatkezelés célja szempontjából szükséges (83) A Hatóság megállapította azt is, hogy Ügyfél mint önálló adatkezelő – sértve az Infotv. 5. § (1)\n\n## bekezdésében foglaltakat – törvényes jogalap nélkül kezelt hangot rögzítő felvételeket [(17) és (20\n\nbekezdés], hiszen arra a Kftv. alapján a közterületi kamerarendszerrel megvalósuló adatkezelése során nincs törvényi felhatalmazása.\n\n## III.2.4 Az elektronikus napló vezetésére és az adatbiztonsági intézkedésekre vonatozó rendelkezések sérelme (1.1., 1.2. és 1.3.)\n\n(84) A Hatóság megállapította, hogy Ügyfél székhelyén kialakított operátori szoba, illetőleg az adatkezelő rendszer ott található elemei (munkaállomás és szerver) nélkülözte a fizikai biztonság feltételeit. A Hatóság által foganatosított szemle időpontjában az elektronikus biztonsági rendszer nem volt üzemben. A beléptető rendszer csak a belépéseket naplózza, a kilépéseket nem. Kulccsal történő belépés esetén a be- és kilépések nem kerülnek naplózásra; a látogatók ellenőrzése, regisztrálása nem történik meg. (85) Ügyfél olyan számítástechnikai eszközökön is tárolt közterületi kamerafelvételeket, melyhez nem volt korlátozva külső adathordozó csatlakoztatása. Ily módon az ott tárolt felvételekhez a fájlmappához hozzáférő összes felhasználó (mely személyi kör tágabb mint a felvételek kezelésére jogosultak köre) meghatározatlan ideig és ellenőrizhetetlen módon hozzáférhetett.\n\n(86) A lefolytatott bizonyítási eljárás alapján – (9) és (10) bekezdés – megállapítható, hogy a Rendszerhez tartozó egyazon felhasználói jelkódot, jelszót a közterület-felügyelő, a segédfelügyelő és a korábbi közterület-felügyelő is ismeri; mindez pedig sérti az adatbiztonságot. (87) Ügyfél nyilatkozata szerint nincs információ arról, hogy a Rendszer mennyi ideig őrzi meg a naplóinformációkat, melyek felülíródnak; továbbá a Rendszer jelenleg nincs mentve. Mindez egybevág a Hatóság által tapasztalt körülményekkel is, miszerint a biztonsági mentésekről semmilyen naplóbejegyzés nem volt található, arról kizárólag a kézzel írott naplóból (20220914_092739.jpg) és az NVR 4.0 felhasználói felületen megtalálható biztonsági mentési előzmények ablakból szerezett a Hatóság tudomást (20220914_103109.jpg, 20220914_103122.jpg). (88) Az Infotv. kötelezően előírja, hogy a személyes adatokkal elektronikus úton végzett adatkezelési műveletek jogszerűségének ellenőrizhetősége céljából az adatkezelő automatizált adatkezelési rendszerben (elektronikus napló) rögzíti az adatkezelési művelettel érintett személyes adatok körének meghatározását, az adatkezelési művelet célját és indokát, az adatkezelési művelet elvégzésének pontos időpontját, az adatkezelési műveletet végrehajtó személy megjelölését, a személyes adatok továbbítása esetén az adattovábbítás címzettjét. Az adatkezelői nyilvántartásban, valamint az elektronikus naplóban rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni.\n\n(89) A (20) bekezdésben leírtak okai az informatikai szakvélemény szerint az alábbiak lehetnek:\n\n1.) A felhasználói jogosultság kezelésnél, a felhasználókhoz rendelt naplózási beállításokban eltérő naplózási szabályok vannak beállítva az egyes felhasználókhoz és a korábbi felvételeket nem admin felhasználóval exportálták ki. Erre a rendszer lehetőséget biztosít, hiszen a beállításokban engedélyezve volt a biztonsági kamerarendszer távoli eléréséhez szükséges Hik-Connect platform-hozzáférés. A szemle során a fiók állapota ”Leválasztva” volt, de ettől még a rendszer bármikor elérhető távolról amennyiben a felhasználó ismeri a csatlakozáshoz szükséges azonosítókat.\n\nA szemle során a Hatóság is admin felhasználóval végezte a videó állomány kimentését és az szerepel a naplóban (20220914095051logBack naplóállomány 438292. bejegyzése 2022-9-14 9:46:54 időbélyeggel).Tehát az admin kezelési tevékenysége naplózásra kerül, azonban a felhasználói tevékenység naplózása nem. A szemle során készített biztonsági mentések láthatóak a naplóállományban a többi biztonsági mentés ténye csak a felhasználói felületen látható, a naplóállományban nem. 2.) Automatikus biztonsági mentés készül a kamerarendszer által rögzített felvételekről, melyet nem naplóz a rendszer.\n\n3.) A napló állomány manipulálásra került.\n\n(90) A Hatóság a helyszíni szemle során beszerzett adatok, továbbá az informatikai szakvélemény alapján megállapította, hogy – bármelyike is áll fenn a fenti eseteknek – Ügyfél nem tett eleget az elektronikus naplóra vonatkozó jogszabályi kötelezettségnek, megsértve az Infotv. 25/F.§ (1) és (4)\n\n## bekezdésében foglaltakat. Ügyfél ugyanis mint adatkezelő köteles az elektronikus úton végzett\n\nadatkezelési műveletek jogszerűségének ellenőrizhetősége céljából, az adatokat automatizált adatkezelési rendszerben (elektronikus napló) rögzíteni úgy hogy abból megállapítható legyen az adatkezelési művelettel érintett személyes adatok köre (jelen esetben egy konkrét felvétel vagy felvételfolyam), az azzal végzett adatkezelési művelet célja és indoka, elvégzésének pontos időpontja, az adatkezelési műveletet végrehajtó személy megjelölése, az adatok továbbítása esetén pedig az adattovábbítás címzettje. Valamennyi a Hatóság által vizsgált felvétel esetében – (3), (21) és (26) bekezdés – nem volt az Infotv. 25/F § (1) bekezdésében foglaltaknak megfelelő információkat nyújtó adat Ügyfél elektronikus naplórendszerében. (91) A Hatóság megállapította, hogy Ügyfél a szemle időpontjában nem rendelkezett adatkezelői nyilvántartással, hiszen azt bemutatni nem tudta, illetve egyik tanúnak sem volt tudomása arról. Noha adatvédelmi szabályzattal rendelkezett Ügyfél, amely az Infotv. 25/E. § (1) bekezdésében megkívánt adatok közül többet is tartalmaz, ugyanakkor nem minden – ezen jogszabályhely által megkövetelt adat szerepel benne, azok nyilvántartására egy szabályzat nem lehet alkalmas. Ügyfél mindezzel megsértette az Infotv. 25/E. § (1) bekezdés j) és k) pontjaiban foglaltakat.. Az adatkezelői nyilvántartást írásban vagy elektronikus úton rögzített formában kell vezetni és azt a Hatóság rendelkezésére kell bocsátani [Infotv. 25/E § (3) bekezdés]. Ügyfél általa kezelt adatokkal összefüggésben felmerült adatvédelmi incidensekre, valamint az érintettek hozzáférési jogának érvényesítését e törvény szerint korlátozó vagy megtagadó intézkedésére vonatkozó adatokat tartalmazó nyilvántartást vagy ezen információk hiányának okát (incidensek még nem fordultak elő, érintetti joggyakorlást nem tagadtak meg) igazoló adatkezelői nyilvántartást bemutatni nem tudott.\n\n(92) A kamerarendszer által készített felvételekhez való hozzáféréssel rendelkező felhasználókról vezetett jogosultsági nyilvántartással sem rendelkezett Ügyfél, melynek megléte szolgálná azt, hogy ellenőrizhető legyen, hogy az elektronikus napló szerint egy adott adatkezelési műveletet végző felhasználó, valóban az adatokhoz hozzáférésre jogosult személynek minősül, az adott felhasználónak milyen feladatellátás érdekében biztosított az adatkezelő hozzáférési jogosultságot. A megfelelő naplóadatok meglétével együtt tenné lehetővé az adatkezelés jogszerűségének igazolását a jogosultsági nyilvántartás vezetése, megállapíthatóvá téve azt, hogy mely személy, konkrétan milyen célból és milyen jogalappal végzett egy adott adatkezelési műveletet.\n\n## (93) Mindezen törvénysértések az elszámoltathatóság alapelvének sérelmével is járnak [Infotv. 23. § (2) bekezdés]. Ezen alapelv szerint az adatkezelőt – így Ügyfelet – terheli annak bizonyítása, hogy a\n\nszemélyes adatok kezelése megfelel az adatvédelmi követelményeknek, ezt az adatkezelő, illetve az adatfeldolgozó köteles bizonyítani. (94) A fenti jogszabályi rendelkezések jelen ügyben különös jelentőséggel bírnak, hiszen a megállapított tényállás szerint a Rendszer által rögzített, illetve azon tárolt közterületi kamerafelvételek kerültek a Polgármester facebook profilját üzemeltető személyhez, aki azokat megosztotta; továbbá mindez sértette az Infotv. 25/I. § (3) bekezdés a), b) és c) pontjait. Sem Ügyfél, sem pedig a meghallgatott tanúk nem adtak számot arról, hogy e felvételek milyen módon kerültek ki. A jogszabály által megkövetelt garanciális szabályok – elektronikus napló vezetése és adatkezelői nyilvántartás – be nem tartása objektív és konkrét módon meghiúsította azt, hogy Ügyfél az elszámoltathatóság alapelvének megfeleljen, illetve a konkrét adatkezeléseket igazolja. (95) Az Infotv. 25/I. § (1) bekezdése alapján Ügyfél a kezelt személyes adatok megfelelő szintű biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető – így különösen az érintettek különleges adatainak kezelésével járó – kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket volt köteles tenni. Ezen intézkedések kialakítása és végrehajtása során figyelembe kell venni az adatkezelés összes körülményét, így különösen a tudomány és a technológia mindenkori állását, az intézkedések megvalósításának költségeit, az adatkezelés jellegét, hatókörét és céljait, továbbá az érintettek jogainak érvényesülésére az adatkezelés által jelentett változó valószínűségű és súlyosságú kockázatokat. Az adatkezelőnek biztosítania kell az adatkezeléshez használt eszközök jogosulatlan személyek általi hozzáférésének megtagadását; továbbá az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását; biztosítani kell az adatkezelő rendszerbe a személyes adatok jogosulatlan bevitelének, valamint az abban tárolt személyes adatok jogosulatlan megismerésének, módosításának vagy törlésének megakadályozását. Ezen törvényi rendelkezések sérelme ugyancsak megállapítható a tényállásban foglaltak alapján, tekintve hogy Ügyfél szerverén lévő, intézkedést igénylő, valamint ismeretlen céllal tárolt felvételekhez arra jogosulatlan személyek is hozzáfértek, a zárt kamerarendszerhez kizárólag az arra jogosult részéről történő hozzáférés sem igazolt, hiszen a közterület-felügyelő nyilatkozata szerint a jelkódot a segédfelügyelő és a korábbi közterület-felügyelő is ismeri, a kamerarendszer elhelyezésére szolgáló helyiségbe történő ki-és belépés nem dokumentált, a segédfelügyelőnek továbbá kulcsa is van hozzá. (96) Itt kell rögzíteni azt a tényt, hogy Ügyfél úgy működtette a Rendszert, hogy annak létezéséről az IBF nem bírt tudomással, illetve annak létesítési folyamatába nem vonta be. Továbbá az Ügyfél rendszergazdai feladatait ellátó FLASH-COM Kft. sem vett részt annak kialakításában, illetve szakmai megkeresést sem kaptak a kialakítással összefüggésben, hanem utólag szembesültek a Rendszer kiépítésével.\n\n(97) Ügyfél az Ibtv.-ből eredő kötelezettségeinek nem tett eleget – (33) bekezdés –, a jogszabályi előírásoknak nem megfelelően folytatta tevékenységét a Rendszer használatával összefüggésben, mely a személyes adatok kezelése vonatkozásában az Infotv. 25/A. (1) és (2) bekezdésében, valamint a 25/I. § (1) bekezdésében foglaltak sérelméhez is vezet. (98) Az alapján, hogy a Polgármester facebook.com közösségi oldalán az eredetileg a Rendszerben kezelt, 2022. augusztus 15-én rögzített – bűnügyi személyes adatot tartalmazó – felvételt tettek közzé, megállapítható, hogy Ügyfél nem biztosította az adatkezeléshez használt eszközök jogosulatlan személyek általi hozzáférésének megtagadását és nem tett eleget az adathordozók jogosulatlan olvasásának, másolásának biztosítására vonatkozó kötelezettségének. Ügyfél nyilvánvalóan megsértette azon kötelezettségét is, hogy az adatkezelő rendszerben tárolt személyes adatok jogosulatlan megismerését megakadályozza. (99) A fentiek alapján Ügyfél mint adatkezelő nem hozott megfelelő intézkedéseket az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen annak céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz mérten. A Rendszer az Infotv. hatálya alá tartozó – bűnüldözési célú – adatkezelésre szolgál, Ügyfél pedig elmulasztotta az ehhez igazodó műszaki és szervezési intézkedések megtételét [Infotv. 25/A. § (1) és (2) a) és b) pontját].\n\n## III.2.5. Adatvédelmi incidens törvénysértő kezelése (1.4.)\n\n(100) A tényállás alapján megállapítható az adatvédelmi incidens bekövetkezte a 2023. augusztus 15. napján rögzített felvétel vonatkozásában. Tény, hogy a felvétel a Polgármester facebook. oldalán 2023. augusztus 18. napján megjelent. A felvétel személyes adatot – illetve bűnügyi személyes adatot – tartalmazott, hiszen a közzététele is az azon szereplő személy felismerésére irányult. Sem a közterület-felügyelő sem pedig az eljárás során meghallgatott többi tanú – nem tudott arról, hogy hogyan került ki a felvétel az Ügyfél kezeléséből. (101) A Hatóság megállapította, hogy Ügyfél mint adatkezelő nem tett eleget az adatvédelmi incidens bekövetkezte esetén követendő eljárásrendnek sem, hiszen nyilatkozatai alapján nem a közterület-felügyelő, mint a felvétel kezelésére jogosult személy továbbította a polgármesternek a felvételt és nem is ő hozta nyilvánosságra. Ebből következően a felvétel valamilyen adatbiztonsági sérelem eredményeként, jogosulatlan hozzáférés által kerülhetett a Polgármesterhez; a Facebook oldalt kezelő és a személyes adatot tartalmazó felvételt közzétevő személyhez. E tényszerűen megállapítható adatvédelmi incidens bekövetkeztét Ügyfél, tudomásszerzése ellenére nem jelentette a Hatóságnál, nem tett annak kivizsgálására, okának felszámolására, így esetleges jövőbeni további incidensek megakadályozására irányuló szükséges intézkedéseket sem, hiszen a Hatóság a 2022. augusztus 18-án a Facebook közzététellel már bizonyosan megvalósult adatvédelmi incidenshez képest az annak bekövetkeztét lehetővé tevő, a határozat tényállásában részletezett, az incidens bekövetkezte óta is változatlan adatkezelési gyakorlatot tárt fel 2022. szeptember 14-én. A közterületfelügyelő a nyilatkozata szerint hallott róla, hogy a Polgármester a facebook-on közzétette a felvételt, amit jelzett a Jegyzőnek is, tehát Ügyfél szervezetén belül minimum két olyan személy is tudomással bírt az incidensről, aki intézkedhetett volna azzal kapcsolatban.\n\n## Ezzel Ügyfél megsértette az Infotv. 25/J. § (1) bekezdésében és a 25/K. § (1) bekezdésében\n\nfoglalt adatkezelői kötelezettségeket.\n\n## III.2.6. Szankciók\n\n(102) Ügyfél vonatkozásában a fentiekre tekintettel a Hatóság az Infotv. 61. § (1) bekezdés b) pont ba) alpontja szerint megállapítja a térfigyelő rendszer keretében végzett adatkezelés módjának jogellenességét az adatbiztonság és az elszámoltathatóság követelményeinek megsértése miatt, továbbá az adatvédelmi incidens bejelentésére és kezelésére vonatkozó jogsértést.\n\n(103) Az Infotv. 61. § (1) bekezdés bg) alpontja és (4) bekezdése alapján egyéb intézkedések mellett a Hatóság százezertől húszmillió forintig terjedő bírságot szabhat ki.\n\n(104) A Hatóság megvizsgálta a bírság kiszabásának szükségességét. Ügyfél jogsértő tevékenységével kapcsolatban a Hatóság nem tartja arányosnak és elégségesnek pusztán a jogellenesség tényének megállapítását. A Hatóság az eset összes körülményére figyelemmel, a személyes adatok jövőbeni védelme érdekében úgy döntött, hogy Ügyfél vonatkozásában bírság kiszabása szükséges. A bírság mértékét jogszabályban biztosított mérlegelési jogkörében állapította meg.\n\n(105) Az adatvédelmi bírság mértékének meghatározásakor a Hatóság enyhítő körülményként vette figyelembe, hogy a jogsértő adatkezelés célja nem kizárólagosan öncélúan, hanem a közérdek, a bűnüldözési érdek érvényesítésének előmozdítása érdekében került sor; továbbá, hogy az eljárás elhúzódott, mely egyébként részben Ügyfélnek is felróható.\n\n(106) Az adatvédelmi bírság meghatározásakor a Hatóság súlyosító körülményként vette figyelembe, hogy a jogsértés rendszerszintű hiányosságokból, adatbiztonsági és adatvédelmi meg nem felelősségekből eredt; az alapelvek sérülése nagy kockázatot jelent az érintettek jogaira, mert a Rendszeren kívül tárolt négy felvételfolyam jogszerű cél nélküli adatkezelést jelentett; az elszámoltathatóság elvének általános jelleggel történő megsértése révén pedig, hosszú időszakon keresztül és számos érintett felölelően a személyes adatok kezelésének útja, az adatkezelés folyamata nyomonkövethetetlenné vált, mely az egyes adatkezelési műveletek jogszerűségének ellenőrizhetőségét zárja ki; az adatbiztonsági és adatvédelmi előírásokat sértő adatkezelés hosszabb idő óta – 2020. évre visszamenően – állt fenn; - Ügyfél már a vizsgálati eljárás során is tudomást szerzett az adatkezelési műveletek megfelelő naplózásának szükségességéről, ennek ellenére az azóta eltelt időszakban kezelt felvételek megfelelő naplózásáról, kezelésének nyomon követhetőségéről sem gondoskodott; bűnügyi személyes adatok esetében az érintettekre gyakorolt kockázat jelentős; a jogsértés jellege és súlyossága jelentős számú személyt érint, hiszen a sérelem 2020. évtől fennáll és egy-egy felvételen nagy számú érintett válhat azonosíthatóvá, – a hangot rögzítő kamerák esetében – beszélgetéseik is hallhatóvá válhatnak; - Adatkezelővel szemben a Hatóság 2019. október 4. napján – a NAIH/2019/2076/11 számú határozatával – már állapított meg képmás mint személyes adat kezelésével, illetve biztonsági kamerákkal kapcsolatos jogsértést 5 millió forint adatvédelmi bírság kiszabása mellett.\n\n(107) Ügyfél bevételi főösszege a 2022. évi beszámolója szerint kerekítve 3,125 Mrd Ft, így a kiszabott bírság nem jelent teljesíthetetlen kötelezettséget, azonban várhatóan alkalmas arra, hogy Ügyfél a jövőben jogkövető magatartást tanúsítson az adatvédelem és adatbiztonság vonatkozásában.\n\n(108) A fentiek alapján a Hatóság a rendelkező rész szerint a maximálisan kiszabható összeg negyven százalékának megfelelő összegű adatvédelmi bírság kiszabását tartotta az eset összes körülménye alapján arányosnak és visszatartó erejűnek.\n\n(109) A Hatóság az Infotv. 61. § (2) bekezdés a) és b) pontjai alapján a határozatnak Ügyfél azonosító adataival történő nyilvánosságra hozatalát is elrendelte, mivel a jogsértés személyek széles körét érinti és azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta.\n\n## IV. Az ügyintézési határidő túllépése\n\n(110) A Hatóság az eljárás során túllépte az Infotv. 60/A. § (1) bekezdése szerinti ügyintézési határidőt.\n\n## V. Egyéb kérdések\n\n(111) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése. A Hatóság illetékessége az ország egész területére kiterjed. (112) A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. (113) Az Ákr. 112. §-a és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.\n\n(114) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdés alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes.\n\n(115) A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a, valamint a Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.\n\n(116) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul.\n\n(117) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Kelt: Budapest, az elektronikus aláírás szerint\n\nDr. habil Péterfalvi Attila elnök c. egyetemi tanár","changes":[{"id":808,"doc_id":10539,"v_from":11224,"v_to":14633,"detected_at":"2026-09-17 02:23:42","added":25,"removed":25,"summary":"--- \n+++ \n-1. megállapítja, hogy Ügyfélmegsértette\n-\n-1.1. az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 4. § (1)-(2) bekezdésében foglalt célhoz kötött adatkezelés elvét és az Infotv. 23.§ (2) bekezdésében foglalt elszámoltathatóság elvét, továbbá az Infotv. 5. § (1) bekezdését; 1.2. az Infotv. 25/A.§ (1) bekezdését, valamint a (2) bekezdés a) és b) pontjait; továbbá az Infotv. 25/I. § (1) bekezdését, valamint a (3) bekezdés a), b), c) pontjában foglalt adatbiztonsági intézkedési kötelezettségeket; 1.3. az Infotv.25/E. §. (1) bekezdés j) és k) pontjaiban foglaltakat, a 25/E. § (3) bekezdését, továbbá az Infotv. 25/F § (1) bekezdés a)-e) pontjaiban foglaltakat és a (4) bekezdését; 1.4. az Infotv. 25/J § (1) bekezdését és a 25/K. § (1) bekezdését; 2. ezért megtiltja a jelen határozatban megállapított jogellenes adatkezelési gyakorlat folytatását;\n+1. megállapítja, hogy Ügyfél megsértette\n+\n+1.1. az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 4. § (1)-(2) bekezdésében foglalt célhoz kötött adatkezelés elvét és az Infotv. 23.§ (2) bekezdésében foglalt elszámoltathatóság elvét, továbbá az Infotv. 5. § (1) bekezdését; 1.2. az Infotv. 25/A.§ (1) bekezdését, valamint a (2) bekezdés a) és b) pontjait; továbbá az Infotv. 25/I. § (1) bekezdését, valamint a (3) bekezdés a), b), c) pontjában foglalt adatbiztonsági intézkedési kötelezettségeket; 1.3. az Infotv. 25/E. §. (1) bekezdés j) és k) pontjaiban foglaltakat, a 25/E. § (3) bekezdését, továbbá az Infotv. 25/F § (1) bekezdés a)-e) pontjaiban foglaltakat és a (4) bekezdését; 1.4. az Infotv. 25/J § (1) bekezdését és a 25/K. § (1) bekezdését; 2. ezért megtiltja a jelen határozatban megállapított jogellenes adatkezelési gyakorlat folytatását;\n-A Polgármester e videofelvétel közzétételét megelőzően, a facebook.com oldalon közzétett és általa tett felhívás szerint arra próbálta rábírni az elkövetőt, hogy önként jelentkezzen a Rendőrségnél, különben közzéteszi a felvételt. E felhívásában szó szerint az alábbiakat közölte: „Édes egy komám, ha a térfigyelő alatt pergeted a mézet, a következőt kockáztatod: ha két napon belül nem jelentkezel a rendőrségen, akkor felkerül az internetre a kézimunkádról a full-HD felvétel”. (https://mandiner.hu/video/2022/08/kerepes-hev-maszturbalas-video-ferfi-jelentkezes-full-hd-pergetia-mezet; https://telex.hu/belfold/2022/08/17/maszturbalas-onkielegites-kerepes-hev-polgarmester) (7) A vizsgálati eljárásban beszerzett adatok alapján megállapítható volt, hogy a közterületi térfigyelő rendszerről szóló Kerepes Város Önkormányzat Képviselő-testületének 19/2016. (IX. 30.) önkormányzati rendelete 4. § (1) bekezdése szerint az önkormányzat a közterületi térfigyelő rendszer kezelésével az Ügyfél közterület-felügyeletét bízta meg. (8) Az a tény, hogy a Polgármester a térfigyelő kamerarendszer felvételeivel rendelkezik, alátámasztotta a Hatóság (5) bekezdésben rögzített megállapítását, mert a közterületi kamerák felvételeinek kezelését érintő, továbbra is fennálló jogsérelmet feltételezett.Mindezekre figyelemmel az Ügyfél közterületi térfigyelő rendszerrel megvalósuló adatkezelésének jogszerűsége tárgyában folytatott vizsgálati eljárást a Hatóság lezárta és e tárgyban megindította jelen adatvédelmi hatósági eljárást.\n+A Polgármester e videofelvétel közzétételét megelőzően, a facebook.com oldalon közzétett és általa tett felhívás szerint arra próbálta rábírni az elkövetőt, hogy önként jelentkezzen a Rendőrségnél, különben közzéteszi a felvételt. E felhívásában szó szerint az alábbiakat közölte: „Édes egy komám, ha a térfigyelő alatt pergeted a mézet, a következőt kockáztatod: ha két napon belül nem jelentkezel a rendőrségen, akkor felkerül az internetre a kézimunkádról a full-HD felvétel”. (https://mandiner.hu/video/2022/08/kerepes-hev-maszturbalas-video-ferfi-jelentkezes-full-hd-pergetia-mezet; https://telex.hu/belfold/2022"}]}