........................................................................................................................................................................................................................................................................

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyszám: NAIH/2743-1/2026.

NAIH/7724/2025.

Tárgy: döntés hivatalból indított adatvédelmi hatósági eljárásban Ügyintéző: […]

## H A T Á R O Z A T

## A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a

## […] Ügyvédi Iroda ([…]) által képviselt […] ([…]., a továbbiakban: Ügyfél1) és a […] Ügyvédi

## Iroda ([…]) által képviselt […] (lakcíme:[…], a továbbiakban: Homeopata orvos, Ügyfél2)

szemben homeopátiás esettanulmányban szereplő személyes adatok közzététele, valamint a […] weboldalon (a továbbiakban: Honlap vagy Weboldal) keresztül kapcsolatfelvételt, homeopátiás és terápiás kezelést igénybe vevők személyes adatai kezelése tekintetében a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletnek (a továbbiakban: általános adatvédelmi rendelet) való megfelelés vizsgálata tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntést hozza:

## 1. A Hatóság hivatalból elmarasztalja az Ügyfél1-et azért, mert a Honlapon közzétett

adatkezelési tájékoztatása gondatlanul megsértette a GDPR 13.cikk (1) bekezdés c) pontját, 13.cikk (2) bekezdés a), b) pontját, valamint a homeopátiás esetfelvételre vonatkozó adatkezelésével gondatlanul megsértette az általános adatvédelmi rendelet 6. cikk (1) a) és a 9. cikk (2) bekezdés a) pontjait.

## 2. A Hatóság hivatalból elmarasztalja az Ügyfél1-et és az Ügyfél2-t azért, mert a „[…]”

esettanulmány vonatkozásában gondatlanul megsértették az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontját.

## 3. A Hatóság hivatalból elmarasztalja az Ügyfél1-et azért, mert a „[…]” esettanulmány

közzétételével gondatlanul megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontját.

4. A Hatóság a megállapított jogsértések miatt - azzal, hogy újabb adatvédelmi jogsértés megállapítása esetén a jogkövetkezmények megállapításakor a jelen jogsértést, mint előzményt fokozott súllyal veszi majd figyelembe – figyelmeztetés ben része síti az Ügyfél 1-et és az Ügyfél 2-t.

5. A Hatóság a megállapított jogsértések miatt az általános adatvédelmi rendelet 58. cikk (2)

## bekezdés d) alapján hivatalból kötelezi az Ügyfél1-et, hogy a jelen határozat (75) – (85)

pontjaiban kifejtett követelményeknek megfelelően adjon megfelelő tájékoztatást, és ezt adatkezelési tájékoztató megküldésével és megfelelő pontjaira való hivatkozással igazolja.

* * * A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan1, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## INDOKOLÁS

## I. Az eljárás menete

(1) Közérdekű bejelentés érkezett a Hatósághoz, melyben a közérdekű bejelentő előadta, hogy […] honlapján ([...] a honlap működtetője a […]) 2021.03.22. óta bárki számára elérhető egy „[…]” című homeopátiás esettanulmány, melyben részletesen bemutatásra kerülnek egy kényszerbetegséggel küzdő páciens pszichés panaszai, illetve a cikkben szexuális irányultságára, vallási hovatartozására vonatkozó adatok is szerepelnek. A közérdekű bejelentő többek között előadta, hogy az esettanulmányban pontos dátummal együtt ismertetésre kerül a páciens életkora, tanulmánya, akkori munkahelye, illetve egyéb életkörülménye. A közérdekű bejelentő szerint az esettanulmányban szereplő személy nem csak ismerősei, kollégái számára beazonosítható, hanem akár a közösségi médiában is, amennyiben publikussá tette munkahelyeit, felsőfokú tanulmányait, vagy akár egy munkahelyi pályázat során is az önéletrajzában feltüntetett tanulmányok és munkatapasztalatok alapján. A közérdekű bejelentő megjegyezte, hogy az esettanulmány eredetileg a […] folyóiratának […] évfolyam 1. számában jelent meg, így a cikk előfizetés esetén bárki számára elérhető. A közérdekű bejelentő álláspontja szerint az esettanulmányban megjelent betegségre, egészségi állapotra, gyógykezelésre vonatkozó adatok, vagyis összefoglalóan az egészségügyi adatok „különlegesnek” minősülnek, és így különleges adatkezelési feltételek vonatkoznak rájuk, azok illetéktelen kezekbe kerülése rendkívül sérelmes lehet az érintettre nézve. A közérdekű bejelentő továbbá aggályosnak tartja azt, hogy […] nem megfelelően anonimizálja a beteg adatait egy esetismertetésnél. (2) A Hatóság 2025.02.11-én hivatalból adatvédelmi hatósági eljárás indított a NAIH/7724/2025. számon az Ügyfél1-gyel szemben a homeopátiás esettanulmányban szereplő személyes adatok közzététele, valamint kapcsolatfelvételt kezdeményező, homeopátiás és terápiás kezelésre jelentkező személyek személyes adatai kezelése tekintetében az általános adatvédelmi rendeletnek való megfelelés vizsgálata tárgyában. A Hatóság 2019. évtől és az eljárás megindításáig terjedő időszakot jelölte meg vizsgált időszakként. (3) A Hatóság áttekintette a Weboldalt és megállapította, hogy a Weboldalon keresztül, illetve a Weboldal által az Ügyfél1 különleges és egyéb személyes adatokat rögzít, használ fel, tesz közzé. (4) A Hatóság a 2025.02.11. napján kelt, NAIH-7724-2/2025. ügyiratszámú feljegyzés alapján mentést készített az Ügyfél1 Honlapjának „Kapcsolat”, „Rendelés” menüpontjairól és adatkezelési tájékoztatójáról, a […] kérdőív sablonokról.

(5) A Hatóság a 2025.02.11. napján kelt, NAIH-7724-1/2025. ügyiratszámú végzésében értesítette az Ügyfél1-et az adatvédelmi hatósági eljárás megindításáról és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. Az Ügyfél1 2025.02.26-án kelt, NAIH-7724- 3/2025. sz. beadványban válaszolt.

1 A közigazgatási per kezdeményezésére a NAIH_KO1 elnevezésű űrlap szolgál: NAIH KO1 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Az űrlap hozzáférhető és letölthető a Hatóság honlapjáról: https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata (6) A Hatóság a NAIH-7724-4/2025. számú iratban újabb tényállás tisztázásra hívta fel az Ügyfél 1-et és értesítette a bizonyítási eljárás befejezéséről, és arról, hogy nyilatkozatot tehet. Az Ügyfél1 tényállás tisztázásra adott válaszát 2025.10.21-én kelt, NAIH-7724-9/2025. sz. beadványban adta meg. Az Ügyfél1 továbbá élt az iratbetekintési jogával (NAIH-7724- 10/2025. számú jegyzőkönyv), továbbá nyilatkozattételi jogával (NAIH-7724-12/2025. számú beadvány).

(7) A Hatóság 2025.10.07. napján NAIH-7724-7/2025. ügyiratszámú feljegyzés alapján átemelte a NAIH-3002/2025. számú ügy iratait.

(8) A Hatóság ügyfélként bevonta az eljárásba a Homeopata orvost, és a 2025.12.02. napján kelt, NAIH-7724-13/2025. és NAIH-7724-14/2025. ügyiratszámú végzésekben nyilatkozattételre hívta fel az Ügyfél1-et és a Homeopata orvost, melyre a válaszok a NAIH-7724-15/2025. és NAIH-7724-16/2025. ügyiratszámú beadványokban érkeztek.

## II. Tényállás tisztázása

(9) Az Ügyfél1 a NAIH-7724-3/2025. sz. válaszlevelében arról tájékoztatta a Hatóságot, a […] 2021. április közepe óta működik, és az adatkezelési tájékoztató 2021. április közepe óta változatlan formában elérhető a Honlapon.

(10) A terápiás adatkezelési folyamat vonatkozásában Ügyfél1 és Ügyfél2/Homeopata orvos (a továbbiakban: Felek) egybehangzóan előadták2, hogy kezelést megelőzően a betegnek az időpontfoglalás során meg kell adnia a nevét és elérhetőségét, továbbá meg kell jelölnie a választott szolgáltatást. Időpontfoglalásra a Weboldal kapcsolatfelvételi felületén, e-mailben és telefonon van lehetőség. Amennyiben a beteg homeopátiás kezelést szeretne igénybe venni, szükséges a Weboldalon található homeopátiás kérdőív kitöltése is. A kitöltött kérdőívet a Homeopata orvos email-címére kell elküldeni. Amennyiben a beteg a kérdőív elküldését követően nem veszi igénybe a homeopátiás kezelést, a homeopata orvos a kérdőívet haladéktalanul törli és azt semmilyen célra nem használja fel. A Felek szerint a gyakorlatban ilyen esetre egyetlen alkalommal sem került sor, mert amikor a beteg már rászánja magát a kérdőív kitöltésére, azt azért teszi, mert addigra eldöntötte, hogy a kezelést igénybe szeretné venni. (11) Előadták, hogy a terápiás kezelések során a betegről gyűjtött adatokat tartalmazó egészségügyi dokumentációt a Homeopata orvos rögzíti, egyrészt papír alapon, másrészt elektronikus formában és azokat részint elzárt szekrényben, részint egy dedikált „páciensek” elnevezésű mappában, a kizárólagos használatában álló, jelszóval védett számítógépén tárolja és őrzi jogszabályi kötelezettség – az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény (a továbbiakban: Eüak.) – alapján, a jogszabályban előírt 30 évig. A Homeopata orvos adatszolgáltatási kötelezettségnek eleget téve a jogszabályban meghatározott adatokat továbbítja az Elektronikus Egészségügyi Szolgáltatási Térbe. (12) A Honlapon végzett adatkezelési tevékenység kapcsán előadták, hogy a Honlapon kizárólag a kapcsolat menüpont alatt elérhető felületen van lehetőség személyes adatok megadására. Kapcsolatfelvétel esetén a honlaplátogató beteg a nevét, e-mail címét, a megkeresés tárgyát és az üzenetét írhatja meg. Az adatkezelés célja a kapcsolatfelvétel, időpontfoglalás rendelésre, érdeklődés az egészségügyi szolgáltatások iránt. A Honlapon keresztül a kapcsolatfelvételi űrlap kitöltése és elküldése során megvalósuló adatkezelés jogalapja az

2 NAIH-7724-3/2025. és a NAIH-7724-16/2025. sz. beadványok érintett hozzájárulása a GDPR 6. cikk (1) bekezdés a) pontja alapján, amelyet az érintett az űrlap elküldése előtt az adatkezelési tájékoztató elfogadására rendelkezésre álló mező megjelölésével ad meg.

(13) A Felek a válaszaikban rögzítették, hogy a Weboldalon keresztül gyűjtött adatok – azaz a kapcsolatfelvétel során megadott adatok – a Homeopata orvos jelszóval védett személyes email fiókjába érkeznek. Abban az esetben, ha a megkeresés alapján a beteg kezelésére sor kerül, akkor az e-mail fiókba érkező adatok átkerülnek a beteg személyes file-jába, amelyet a Homeopata orvos hoz létre. Abban az esetben, ha a kapcsolatfelvételt követően az érintett nem vesz igénybe egészségügyi szolgáltatást, a megadott adatok a kommunikáció lezárását követő egy hónapon belül törlésre kerülnek. Hangsúlyozták,3 hogy a beteggel kapcsolatos minden adat mentése a beteg személyes file-jába történik. (14) Homeopátiás kezelés igénybevétele esetén akként nyilatkoztak, hogy az érintett a Weboldalon elérhető kérdőívet tölti ki, majd azt a Homeopata orvos részére emailben elküldi. Ez esetben az adatkezelés jogalapja az érintett kifejezett hozzájárulása a GDPR 9. cikk (2) bekezdés a) pontja alapján, amelyet az érintett a kérdőíven elhelyezett tájékoztatás ismeretében az űrlap elküldése előtt az adatkezelési tájékoztató elfogadásával ad meg. (15) A Felek előadták, hogy a Homeopata orvos rendelésein homeopátiás, illetve homeopátiával kiegészített pszichiátriai gyógykezelés folyik, így elengedhetetlen a páciensekhez kapcsolódó, különleges kategóriájú személyes adatok gyűjtése és kezelése. Az Ügyfél1 a nyilatkozata szerint a terápiás kezelés során rögzített, valamint az érintett által megadott, a terápia szempontjából releváns egészségügyi adatokat kizárólag a terápiás kezelés eredményes elvégzése céljából kezeli. A Felek megjegyezték, hogy a kezelések során és érdekében megadott, jogszabály alapján megőrzendő egészségügyi adatok (egészségügyi dokumentáció) vonatkozásában az adatkezelés jogalapja az Eütv.-ben és az Eüak.-ban meghatározott jogi kötelezettség teljesítése a GDPR 6. cikk (1) bekezdés c) pontjának és a GDPR 9. cikk (2) bekezdés h) pontjának megfelelően. Az Ügyfél1 szerint4 abban az esetben szükséges a Honlapon található homeopátiás kérdőívek kitöltése […], ha a páciens homeopátiás kezelést szeretne igénybe venni. Ebben az esetben ugyanis a páciens már döntést hozott.

(16) Az Ügyfél1 szerint5 a homeopátiás kezeléshez a státuszfelvevő kérdőíveken részletes adatok megadása a hatékony homeopátiás kezelés érdekében szükséges. Ezen adatok egy részét a páciensek önállóan is tudják biztosítani orvosi segítség nélkül (például panaszok, személyes és családi anamnézis, egyéb jellemzők stb.). Az információk további része ilyen módon nem előhívható, időigényes és speciális orvosi esetfelvételi technikát igényel. A személyes találkozáskor történő esetfelvétel vezetése szempontjából meghatározóak azok az információk, amik az előre elküldött kérdőív elolvasása után már az orvos rendelkezésére állnak. Az Ügyfél1 hangsúlyozta, hogy a két típusú adatgyűjtés sorrendje nem felcserélhető: a kérdőív szükséges az első terápiás megbeszélésre való felkészüléshez. A kérdőív használatának célja tehát az, hogy az esetfelvételhez és a kezeléshez szükséges összes lényeges információ az orvos rendelkezésére álljon úgy, hogy az a pácienst a lehető legkevésbé terhelje meg (időben és anyagilag), és számára a lehető legelőnyösebb kimenetelű kezelés lehetőségét biztosítsa. A kérdőíven rögzített személyes adatokat - mint az érintetthez kapcsolódó egészségügyi dokumentáció része – a homeopata orvos rögzíti és egy dedikált mappában, a kizárólagos használatában álló, jelszóval védett számítógépén tárolja és megőrzésre kerül az Eüak. 30. § (1) bekezdésében meghatározott 30 évig.

3 NAIH-7724-3/2025. sz. beadvány 4 NAIH-7724-3/2025. sz. beadvány 5 NAIH-7724-3/2025. sz. beadvány (17) A Honlapon közzétett homeopátiás esettanulmány anonimizálása kapcsán a Felek úgy nyilatkoztak, hogy a páciens név nélkül szerepelt. Az esettanulmány egy orvosi szaklap számára készült, eredetileg ott került publikálásra (ahogyan az a Honlapon is megemlítésre került). A benne szereplő információk a kezelés folyamatának bemutatása szempontjából fontosak az azt olvasó orvoskollégák számára. Ugyanis az ilyen típusú esettanulmányokban szokásos gyakorlat a páciens élettörténetének és választásainak részletes bemutatása és elemzése. Ezek az információk segítik a páciens mélyebb állapotának, viselkedésének és a történések általa történő percepciójának (érzékelésének, megélésének) azonosítását, és mivel részben ezeken alapul a kezelésben alkalmazott szer kiválasztása – ez teszi lehetővé a kiválasztás szempontjainak megértését és a terápiás döntés alátámasztását. Ennek hiányában más orvos számára az adott szerválasztás nem megfelelően indokolható. Az esettanulmány alapján a beteg nem azonosítható. Bár a betegről az esettanulmányban feltárt információk (nem, kor, munkahely) az érintetti kört szűkítik, a beteg mégsem ismerhető fel ezek alapján. A páciens ugyanis a munkahelyén tudott úgy funkcionálni, illetve a munkáját el tudta látni anélkül, hogy a kényszerbetegségére fény derült volna. A belső megélések a munkahelyi közegben nem manifesztálódtak külső, más által érzékelhető, átlagostól eltérő viselkedésben. Megjegyezték, hogy az esettanulmányban szakmailag indokolt és fontos volt a munkahely megjelölése, ugyanis a beteg munkahelyválasztása a beteg rendhez és fegyelemhez történő erős vonzódásának egyfajta vetülete, így a kórkép szerves része volt ez is. (18) Az Ügyfél1 előadta6, hogy a Honlapon 2021. március 22. óta elérhető „[…]” című homeopátiás esettanulmányban szereplő beteg (mint minden más beteg) személyes adatai kezelésének jogalapja a kapcsolatfelvételkor a beteg hozzájárulása, a GDPR 6. cikk (1) bekezdés a) pontja. Erre vonatkozóan az Ügyfél csatolta az esettanulmányban szereplő páciens előzetesen e-mail útján tett hozzájárulását. A 2019. március 4-én történt levelezés során a Homeopata orvos a következőképpen kérte a páciens hozzájárulását: „Azért keresem, hogy megkérdezzem, hozzájárulna-e ahhoz, hogy név nélkül, az azonosíthatóságot teljesen kizárva, leírjam az esetét egy […] folyóiratban? (…)”. A páciens ugyanazon a napon érkezett válaszemail-jében megadta hozzájárulását: „Természetesen, nagyon szívesen hozzájárulok. Ez esetben szeretném viszont szeretném ha majd elolvashatnám, mert érdekel mint eset kívülről nézve. (…)” Az Ügyfél1 az esettanulmány vonatkozásában úgy nyilatkozott továbbá, hogy a hozzájárulást követően a kezelések során és érdekében megadott, jogszabály alapján megőrzendő egészségügyi adatok (egészségügyi dokumentáció) vonatkozásában az adatkezelés jogalapja az Eütv.-ben és az Eüak.-ban meghatározott jogi kötelezettség teljesítése a GDPR 6. cikk (1) bekezdés c) pontjának és a GDPR 9. cikk (2) bekezdés h) pontjának megfelelően. (19) Az Ügyfél1 arra a kérdésre vonatkozóan7, hogy mire használja a […] e-mail címet, a NAIH-

7724-9/2025. számú beadványában úgy nyilatkozott, hogy a Homeopata orvos a hivatkozott email-címet mind a magánéleti kapcsolattartáshoz, mind szakmai tevékenységével összefüggésben – azaz a […] oldallal kapcsolatos szakmai tevékenységével is összefüggésben - használja, és ezzel kapcsolatban nem is rendelkezik más e-mail címmel. A Felek szerint az adatbiztonsági követelmények érdekében a levelek a jelszóval védett […] email fiókba érkeznek, továbbá az ilyen tartalmú e-maileket azonnal elkülöníti a Homeopata orvos a többi levéltől, majd az e-mail fiókba érkező adatok átkerülnek a beteg személyes filejába, amely szintén jelszóval védett. A Homeopata orvos megjegyezte8, hogy a beteg személyes file mappájához kizárólag ő, mint kezelőorvos fér hozzá. A Felek szerint a GDPR (91) preambulumbekezdése alapján a személyes adatok kezelése nem tekinthető nagymértékűnek, ha az adatkezelés egy adott szakorvos, egészségügyi szakember betegei személyes adataira vonatkozik. Ilyen esetekben az adatvédelmi hatásvizsgálatot nem kell

6 NAIH-7724-3/2025. sz. beadvány 7 NAIH-7724-4/2025. és a NAIH-7724-8/2025. számú végzések 8 NAIH-7724-16/2025. sz. beadvány kötelezővé tenni. A Homeopata orvos, mint szakorvos kizárólag a saját pácienseivel kapcsolatos adatkezelési feladatokat lát el, így megítélésük szerint hatásvizsgálat elvégzése nem volt indokolt és kötelező, erre tekintettel arra nem került sor. (20) A személyes adatok nyilvántartására vonatkozóan a Felek előadták, hogy a Homeopata orvos által használt számítógépen történik, és minden beteg számára, annak nevével megjelölt MsWord file készül, amelyben a kezeléséhez kötődő minden adat tárolásra kerül. A Weboldalon keresztül megadott adatokhoz az Ügyfél1 szerint a Homeopata orvos, illetve az ügyvezető férhet hozzá, a Homeopata orvos szerint kizárólag ő férhet hozzá. (21) A Felek arra a kérdésre vonatkozóan9 hogy milyen jogviszonyban állnak és hogyan oszlanak meg az adatkezelési feladatok közöttük, egybehangzóan úgy nyilatkoztak, hogy a Homeopata orvos az Ügyfél1 kültagja és munkavállalója. A Homeopata orvos egészségügyi tevékenységét az Ügyfél1 tagjaként az egészségügyi tevékenység végzésének egyes kérdéseiről szóló 2003. évi LXXXIV. törvény 11. §-ában foglaltak szerint az Ügyfél1 nevében és felelősségére végzi. Az Ügyfél1 szerint a hivatkozott törvényi rendelkezés alapján az egészségügyi dolgozó jogosult a megfelelő engedély birtokában társas vállalkozás tagjaként, a társas vállalkozás nevében és felelősségére egészségügyi tevékenységet végezni és erre tekintettel az Ügyfél1 minősül adatkezelőnek, hiszen a Homeopata orvos tevékenységét társas vállalkozás keretében végzi és így a páciensek az Ügyfél1-gyel kerülnek jogviszonyba. Ugyanakkor az Eüak. 5. § (1) bekezdésének a) pontja az Eüak. tárgyi hatálya alá tartozó egészségügyi és személyazonosító adatok kezelésének feladatát a betegellátóra, azaz a Homeopata orvosra dedikálja. A Felek előadták, hogy az egészségügyi tevékenységhez kapcsolódó valamennyi adatkezelési feladatot (így különösen, de nem kizárólag a páciensekkel való kapcsolatfelvétel és kapcsolattartás, a terápiát megelőzően és a terápia során megadott, illetve tudomására jutott adatok rögzítése és tárolása) a Homeopata orvos látja el, valamint az Ügyfél1 nevében szintén az orvos végzi a számlázással kapcsolatos feladatokat is, azonban ez feladatellátási kérdés, és nem teszi a Homeopata orvost önálló adatkezelővé. A Felek a beadványukhoz csatolták a Homeopata orvos működési engedélyével összefüggő határozatot. Az Országos Kórházi Főigazgatóság által vezetett orvosi működési nyilvántartás szerint pszichoterápia szakképesítési nyilvántartási számmal a Homeopata orvos rendelkezik. (22) Az Ügyfél1 megjegyezte10, hogy homeopátiás és terápiás kezelésekhez kötődően írásos szerződések nem készülnek, tekintettel arra, hogy ilyen kötelezettséget jogszabály nem ír elő. (23) A vizsgált időszakban az adatkezelés összesen 889 személyt érintett. Évenkénti bontásban:

2025: 232, 2024: 252, 2023: 166, 2022: 129, 2021: 111, 2020: 61, 2019: 85 személy.11 (24) A Felek álláspontja szerint12 a Weboldalon elérhető esettanulmány vonatkozásában lényeges ténynek és körülménynek tekinthető, hogy az esettanulmányban szereplő páciens előzetesen írásban hozzájárulását adta esetének közléséhez. A homeopátiás kezelés során a páciens számára választandó gyógyszer meghatározása individuálisan (egyénre szabottan) és egy összetett állapotfelmérést követően történik, amely meglehetősen bonyolult folyamat. A homeopátiás tanulmányok, továbbképzések során a részletes esetismertetések általánosan használatosak és kiemelt szerepük van. Az Ügyfél1 hozzátette, hogy a Homeopata orvos által elkészített esettanulmányt a […] c. folyóiratának szerkesztőbizottsága megvizsgálta, közlésre érdemesnek és alkalmasnak találta. Továbbá a fenti esettanulmány a közeljövőben angol nyelven is megjelenik majd egy homeopátiás szakkiadványban. Az e kötetben szereplő

9 NAIH-7724-15/2025. és a NAIH-7724-16/2025. sz. beadványok

10 NAIH-7724-3/2025. sz. beadvány

11 NAIH-7724-15/2025. és a NAIH-7724-16/2025. sz. beadványok

12 NAIH-7724-15/2025. és a NAIH-7724-16/2025. sz. beadványok esettanulmányokat egy nemzetközi pályázat során gyűjtötték össze és válogatták ki, az esettanulmány alkalmasságát és közölhetőségét egy szerkesztőbizottság állapította meg. A Homeopata orvos hozzátette13, hogy a hatósági eljárás megindításáról való tudomásszerzést követően a kérdéses esettanulmányt eltávolította a weboldalról.

## III. Megállapított tényállás

## III.1. Az eljárás tárgya, adatkezelői minőséggel kapcsolatos információk

(25) A cégnyilvántartás szerint az Ügyfél1 főtevékenysége üzletviteli, üzletvezetési tanácsadás.

Tevékenységei között szerepel az alternatív gyógyászati ellátás és a humánegészségügyi ellátás is, azonban csak […] hatállyal, ugyanakkor az Ügyfél1 egészségügyi adatkezelést a Honlappal összefüggően 2021. óta végez. Az Ügyfél1 önmagát, mint adatkezelő szolgáltatót tüntette fel a Honlapon közzétett Tájékoztatójában. Az Ügyfél1 és a Homeopata orvos is az Ügyfelet1-et nevezi meg a Honlap adatkezelőjeként, továbbá az Ügyfél1 a Honlap domainhasználója. (26) A Homeopata orvos az Ügyfél1 kültagja és munkavállalója, aki az Ügyfél1 nevében és felelősségére végez egészségügyi tevékenységet, ezért a Felek szerint nem tekintendő adatkezelőnek. A Homeopata orvos […] néven szerepel az orvosi működési nyilvántartásban pszichoterápia szakképesítéssel. (27) A Honlap szerint az Ügyfél1 tevékenysége a homeopátiás és pszichoterápiás kezelések nyújtása, amelyeket a Homeopata orvos, az Ügyfél1 tagjaként végez. […] […] szolgáltatásai a homeopátiás és a pszichoterápiás kezelések, illetve ezek kombinációja.

(28) A homeopátia egy alternatív, holisztikus, nem-konvencionális gyógyító eljárás. A 11/1997.

(V.28.) NM rendelet szerint orvosi diplomával rendelkező személy által végezhető, és a természetgyógyászati tevékenységről szóló 40/1997. (III.5.) Korm. rendelet hatálya alá tartozik.

(29) A homeopátiás és pszichoterápiás kezelések nyújtása mint egészségügyi szolgáltatás végzése illetve a kifejezetten ezzel kapcsolatos adatkezelés nem tárgya a jelen eljárásnak, mivel jelen ügyben kizárólag a Honlappal összefüggésbe hozható adatkezelések (kapcsolatfelvétel, személyes adatok megküldése, kérdőív kitöltése, tájékoztatás, esettanulmány közzététele) képezik a vizsgálat tárgyát. (30) A kis- és középvállalkozásokról, fejlődésük támogatásáról szóló 2004. évi XXXIV. törvény alapján mikrovállalkozásnak minősül az a vállalkozás, amelynek összes foglalkoztatotti létszáma 10 főnél kevesebb, és éves nettó árbevétele vagy mérlegfőösszege legfeljebb 2 millió eurónak megfelelő forintösszeg. Mivel az Ügyfél1 2024-ben […] főt foglalkoztatott, de árbevétele nem haladta meg a 2 millió eurós küszöböt, a jogszabály szerint mikrovállalkozásnak minősül.

## III.2. A Honlapon közzétett adatkezelési tájékoztatás, homeopátiás kezeléssel kapcsolatos adatkezelés, esettanulmány

(31) A Hatóság egyrészt a Honlapon 2021. április közepe óta közzétett adatkezelési tájékoztatást, a homeopátiás adatfelvétel és a kapcsolatfelvétel jogalapját, másrészt a konkrét homeopátiás esettanulmányt értékelte. A Honlapon „Adatkezelési tájékoztató” (a NAIH-7724-2/2025. számú

13 NAIH-7724-16/2025. sz. beadvány feljegyzés mellékleteként 2025.01.30-ai mentés szerint, a továbbiakban: Tájékoztató) néven található adatvédelmi tájékoztatás 2021 áprilisában készült el, és az eljárás megindulásáig változatlan formában volt elérhető. Tehát ezen Tájékoztató tartalmazta az Ügyfél1 által adott tájékoztatást a vizsgált időszakban (2021.04.15.-2025.02.11.), ez a tájékoztatás ez alatt az időszak alatt folyamatos volt és nem változott. Ebből következően a Hatóság a Tájékoztatót elemezte, több időállapot vizsgálatára nem volt szükség, mert a Tájékoztató a vizsgált 4 év adatvédelmi tájékoztatását tartalmazta. (32) A Honlapot és a „Kapcsolat” menüpontját áttekintve megállapítható, hogy kapcsolatfelvétel során az érintettnek a nevét, e-mail címét, a megkeresés tárgyát és üzenetét kell megadnia. A kapcsolatfelvételhez a Tájékoztató elfogadása szükséges, a jelölőnégyzet bejelölésével. Ugyanezen menüpont biztosítja az érintettnek a homeopátiás kezelés miatti kapcsolatfelvételt, és az ehhez kapcsolódó kérdőívek letöltését is. (33) A homeopátiás kezelést megelőzően az érintettnek két kérdőívet kell kitöltenie: egy […]

kérdőívet, amely többek között egészségügyi adatokra is kiterjed, valamint egy […] kérdőívet (NAIH-7724-2/2025. számú feljegyzés mellékleteként 2025.01.30-ai mentés szerint). Ezek a kérdőívek a Weboldalon keresztül érhetőek el. A 49 kérdésből álló homeopátiás kérdőív rendkívül részletes, az arra adott válaszokból megismerhető a páciens életének sok és mély aspektusa. A kérdőívben a következő egészségügyi adatokat szükséges megadnia az érintettnek: panaszai ismertetése, körülményei, tünetei, részletes családi kórtörténet,kórelőzmény, nőkre vonatkozó résznél szülések száma, módja, spontán és művi abortuszok előfordulása, menstruáció körülményei stb. A kérdőív konkrétan például az alábbi érzékeny témákra kérdez rá: […]. (34) A homeopátiás kérdőív tetején a következő bevezető olvasható: […]

(35) A Honlapon gyűjtött adatok – azaz a kapcsolatfelvétel során megadott adatok -, valamint a homeopátiás esetfelvételhez tartozó két kérdőív a […] e-mail fiókba érkeznek. Az adatok a Homeopata orvos által kizárólagosan használt számítógépen találhatók, betegenként elkülönített, jelszóval védett személyes file-ba kerülnek át. (36) A Honlapon bárki számára elérhető volt a Homeopata orvos által írt „[…]” című homeopátiás esettanulmány, melyben részletesen bemutatásra kerültek egy kényszerbetegséggel küzdő páciens pszichés panaszai, részletes személyes adatai. A páciens neve nem szerepelt a tanulmányban. Az esettanulmány a jelen eljárás megindulása után a Weboldalról törlésre került.

## IV. Alkalmazott jogszabályi rendelkezések

(37) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. (38) Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben meghatározott kiegészítésekkel kell alkalmazni. (39) Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése.

(40) Az Infotv. 38. § (2a) bekezdése alapján az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja. (41) Az Infotv. 38. § (3) bekezdés b) pontja értelmében a 38. § (2) és (2a) bekezdés szerinti feladatkörében az e törvényben meghatározottak szerint különösen az érintett kérelmére és hivatalból adatvédelmi hatósági eljárást folytat. (42) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap. (43) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. (44) Az Infotv. 71. § (2) bekezdése alapján: „A Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja.” (45) Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 99.

§-a alapján a hatóság – a hatáskörének keretei között – ellenőrzi a jogszabályban foglalt rendelkezések betartását, valamint a végrehajtható döntésben foglaltak teljesítését. (46) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban e törvénynek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az e fejezetben foglalt eltérésekkel kell alkalmazni. (47) Az általános adatvédelmi rendelet 4. cikk 1. pontja értelmében: „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.” (48) Az általános adatvédelmi rendelet 4. cikk 2. pontja szerint: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés.” (49) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján: „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.” (50) Általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja értelmében: „A személyes adatok: c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”)”.

(51) Általános adatvédelmi rendelet 6. cikk (1) bekezdés a) pontja értelmében: „A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül: a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez”. (52) Általános adatvédelmi rendelet 9. cikk (1) bekezdés értelmében: „A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.” Általános adatvédelmi rendelet 9. cikk (2) bekezdés a) pontja értelmében: „Az (1) bekezdés nem alkalmazandó abban az esetben, ha: a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával.” (53) Az általános adatvédelmi rendelet 13. cikke szerint: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

(3) Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. (4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.” (54) Az általános adatvédelmi rendelet 58. cikk (2) bekezdése alapján: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték; h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” (55) Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése szerint: „[…]

(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel;

i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.[…]”

## V. Döntés

## V.1. Adatkezelői minőség

(56) A Felek nyilatkozatai szerint kizárólag Ügyfél1 az adatkezelő, a Homeopata orvos csupán az

Ügyfél1 munkavállalója, tevékenységét az Ügyfél1 nevében és felelősségre végzi. A Felek hivatkoztak továbbá arra is, hogy az egészségügyi tevékenység végzésének egyes kérdéseiről szóló 2003. évi LXXXIV. törvény 11. § (1) bekezdésben foglaltak szerint egy egészségügyi dolgozó jogosult a megfelelő engedély birtokában társas vállalkozás tagjaként, a társas vállalkozás nevében és felelősségére egészségügyi tevékenységet végezni. Tehát a Felek az Ügyfél1-et, mint önálló adatkezelőt jelölték meg valamennyi adatkezelés vonatkozásában. (57) A GDPR 4. cikk 7. pontja szerint adatkezelő az a természetes vagy jogi személy, aki az adatkezelés céljait és eszközeit meghatározza. Az adatkezelői minőség megállapítása során az alábbi szempontok merültek fel:

(58) Az Ügyfél1 önmagát, mint az adatokat kezelő szolgáltatót tünteti fel Tájékoztatójában, illetve az Ügyfél1 a Honlap domain-használója.

(59) Amennyiben az adatkezelési tevékenységet egy jogi személy saját szervezeti keretein belül, munkavállalója útján végzi, az adatkezelés továbbra is a jogi személynek tulajdonítható, mivel a munkavállaló nem önállóan, hanem munkaviszonyból fakadó alárendeltségben, a munkáltató utasításai és érdekében jár el. Ennek megfelelően az adatkezelői minőség alapesetben nem a tevékenységet ténylegesen végző természetes személyhez, hanem ahhoz a jogi személyhez kapcsolódik, aki az adatkezelés célját és kereteit meghatározza és viseli annak felelősségét.

(60) A GDPR (47) preambulumbekezdése szerint az adatkezelés megítélésekor figyelembe kell venni az érintettek ésszerű elvárásait, különösen azt, hogy kivel állnak kapcsolatban az érintettek. Bár e rendelkezés elsődlegesen a jogos érdek jogalapjához kapcsolódik, a gyakorlatban az adatkezelői minőség értelmezése során értelmezési támpontként szolgál. A Honlap domain-neve a Homeopata orvos nevével megegyező. Ugyanakkor a terápiás kezelések során rendelkezésre álló adatok szerint nincs írásos szerződés, és a páciensek az Ügyfél 1-gyel létesítenek jogviszonyt.

(61) Az orvosi működési nyilvántartás szerint pszichoterápia szakképesítési nyilvántartási számmal a Homeopata orvos rendelkezik.

(62) A kezeléseket megelőző első szakaszban – azaz a Honlapon keresztül történő kapcsolatfelvétel során – a Homeopata orvos által nyújtott egészségügyi szolgáltatás igénybevételének előkészítése történik. Ahogyan a homeopátiás esetfelvétel esetén is, az érintettnek a kapcsolatfelvételi űrlap kitöltését követően második lépésként a Honlapon elérhető kérdőívet kell kitöltenie és továbbítania a Homeopata orvos magán email-címére. A kapcsolatfelvétel és a homeopátiás esetfelvétel kapcsán az adatkezelés célja tehát a Homeopata orvos szakmai tevékenysége, a bekért adatok kizárólag az általa nyújtott egészségügyi ellátás érdekében kerülnek felhasználásra. Mivel a terápiás kezelésekhez kapcsolódó kapcsolatfelvétel, illetve a homeopátiás esetfelvételhez szükséges két kérdőív tartalmi és formai keretei nélkül a terápiás kezelések igénybevétele nem valósulhatna meg, ezért az adatkezelési cél elérése felveti a Felek együttműködését, azaz a Homeopata orvos szerepét az adatkezelés kialakításában. (63) Mindezek alapján, összességében a Hatóság elfogadja a Felek álláspontját, miszerint az

Ügyfél1 az adatkezelő a Weboldal, és az azzal kapcsolatos adatkezelések során (bár nem csupán ezt alátámasztó szempontok merültek fel).

(64) Ezzel ellentétben, a Hatóság megállapítása szerint másként ítélendő meg az adatkezelői minőség az eljárás tárgyát képező tanulmánnyal kapcsolatban, mert e vonatkozásban Ügyfél2 tekintendő adatkezelőnek. Egy cikk, tanulmány, írásmű szerzője akkor válik adatkezelővé, ha az alkotásában személyes adatokat, azonosítható személyeket szerepeltet, és a szerzeményt és ezáltal az adatokat mások tudomására hozza, közli, közzéteszi, továbbítja. A szerzői jog részesíti védelemben az irodalmi, tudományos, művészeti alkotásokat, valamint a felhasználásukhoz kapcsolódó teljesítményeket. A „[…]” c. tanulmányt a Homeopata orvos készítette, írta meg az egyik terápiás esete alapján, tehát egyértelműen személy szerint ő a szerző, illetve a szerzői jogok jogosultja. A tanulmány megírása során ő döntött arról, hogy mely személyes adatokat, hogyan használ fel, a személyes adatok mely köre szükséges a tanulmányhoz. Ezenkívül a Homeopata orvos határozta el a tanulmány másoknak való megküldését, megismerhetővé tételét, nyilvánosságra hozatalát is: a tanulmány közzétételre került a […] és a […] weboldalon elérhető […] c. szakmai folyóiratban. Megállapítható, hogy az esettanulmány elkészítése kapcsán megvalósuló adatkezelés tekintetében a Homeopata orvos önálló adatkezelőnek minősül.

## V.2. A homepátiás esetfelvétellel kapcsolatos adatkezelés

## V.2.1. Jogalap

(65) A kapcsolatfelvétel úgy valósul meg, hogy az érintett kitölti a kapcsolatfelvételi űrlapot és a jelölőnégyzet bepipálásával elfogadja a Honlapon közzétett Tájékoztatót. Ebből adódóan az Ügyfél1 biztosítja az érintett számára az adatkezelés elfogadását szolgáló checkboxot, és ezáltal kívánja biztosítani a GDPR 6. cikk (1) bekezdés a) pont szerinti hozzájárulás jogalapot. Online környezetben egy checkbox kipipálása és a tájékoztatásban foglaltak tudomásul vétele formailag a hozzájárulás megadásának tekinthető, de emellett biztosítani kell a hozzájárulás feltételeit, vagyis a hozzájárulásnak tájékozottnak, kifejezettnek és önkéntesnek kell lennie. (66) A Honlapon homeopátiás terápiás jelentkezés esetén az érintettnek az időpontfoglaláson kívül

– ami a „Kapcsolat” menüpont alatt található […] kérdőíveket is ki kell töltenie. (67) A különleges személyes adatok kezelése főszabály szerint tilos. A különleges személyes adatok jogszerűen csak akkor kezelhetők, ha a GDPR 6. cikk (1) bekezdésében meghatározott valamely jogalap mellett a GDPR 9. cikk (2) bekezdés szerinti körülmény is fennáll, amely kivételt enged a különleges adatok kezelésének tilalma alól.

(68) A GDPR 9. cikk (2) bekezdés a) pontja előírja, hogy az adatkezeléshez az érintettnek kifejezett hozzájárulást kell adnia, vagyis egyértelmű, kifejezett nyilatkozatot kell tennie arról, hogy hozzájárul a GDPR 9. cikk (1) bekezdése szerinti különleges kategóriájú adatainak kezeléséhez.

(69) A Felek nyilatkozata szerint a homeopátiás esetfelvételhez az érintett kifejezett hozzájárulása akként valósul meg, hogy az érintett a homeopátiás kérdőíven elhelyezett tájékoztatás ismeretében a kapcsolatfelvételi űrlap elküldése előtt elfogadja a Tájékoztatót. A Tájékoztató 4. pontjában és a homeopátiás kérdőíven azonban az érintett a kifejezett hozzájárulást úgy teszi meg, hogy a Honlapon elérhető homeopátiás esetfelvételre vonatkozó kérdőíveket kitölti és visszaküldi a Homeopata orvosnak. A Hatóság értékelése szerint az Ügyfél1 tehát nem kér az érintettektől kifejezett hozzájárulást, csupán a kérdőívek visszaküldését kéri a […] e-mail címre a homeopátiás esetfelvétel előtt. A homeopátiás kérdőív sem tartalmaz az adatkezeléshez való kifejezett hozzájárulásra vonatkozó nyilatkozati részt, az Ügyfél1 a homeopátiás kérdőívben csupán egy mondattal tájékoztatja az érintettet arról, hogy a kérdőív kitöltésével és visszaküldésével elfogadja a Honlapján található tájékoztatást. A Hatóság megjegyzi, hogy a kérdőíven „adatkezelési szabályzat” és nem a Honlap szerinti „adatkezelési tájékoztató” szerepel, ezért az érintett számára nem is egyértelmű, hogy hol találja meg a releváns adatkezelési információkat. (70) A kifejezett hozzájáruláshoz az érintett az adott adatkezelésre vonatkozó kifejezett beleegyezése szükséges. A kifejezettség a hozzájárulás jogalaphoz egy olyan plusz követelmény, amely az adatkezelőnek szóló, pontos, célzott jognyilatkozat az egészségügyi adatkezelés végzésére való felhatalmazásként. Jelen esetben a kifejezettség hiányzik, egy szabályzatnak az „elfogadása” jogilag nem pontos és túl általános megfogalmazás. Az érintett kifejezett hozzájárulása egyébként akkor sem teljesülne, ha az Ügyfél1 az űrlap elküldése előtt nem az adatkezelési szabályzat, hanem az adatkezelési tájékoztató elfogadását kérné. (71) Az Ügyfél1 továbbá a homeopátiás esetfelvételhez szükséges […] kérdőívet is ugyanazon jogalap alapján kezeli, de az említett kérdőíven sem szerepel adatkezelésre vonatkozó tájékoztatás.

## (72) Megállapítható, hogy a vizsgált időszakban az Ügyfél1 nem rendelkezett megfelelő jogalappal

a homeopátiás esetfelvételhez kapcsolódó egészségügyi adatok kezeléséhez, mivel nem kért kifejezett hozzájárulást, és így megsértette az általános adatvédelmi rendelet 9. cikk (2) bekezdés a) pontját.

## V.2.2. A Honlapon megvalósuló tájékoztatás

(73) A Tájékoztató az alábbi struktúrát követte:

[…] (74) Az Ügyfél1 Tájékoztató általi adatkezelési tájékoztatása nem volt helytálló és elfogadható főként az alábbiak miatt:

(75) A Felek nyilatkozata szerint adatkezelésének jogalapja az érintett kifejezett hozzájárulása, amit az érintett a homeopátiás kérdőíven elhelyezett tájékoztatás ismeretében a kapcsolatfelvételi űrlap elküldése előtt a Tájékoztató elfogadásával ad meg. A Tájékoztató 4. pontja azonban másként mutatja be az érintett hozzájárulását: „Az adatkezelés jogalapja jelen Adatkezelési tájékoztatóban foglaltak Érintett általi elfogadása, melyet (…) az egészségügyi anamnézis és státusz megosztásakor pedig annak kitöltésével és az adott e-mail címre való visszaküldésével végez.”. (76) A Tájékoztatóban nincs egyértelműen meghatározva, hogy milyen célból kezeli a homeopátiás esetfelvételhez szükséges adatmennyiséget és a pszichoterápiás kezeléshez szükséges adatokat az Ügyfél1. A Tájékoztatóban csupán a Honlap általános célja – a praktizáló orvosok és az általuk végzett egészségügyi szolgáltatások bemutatása (lásd a Tájékoztató 1. pontjában) – kerül megjelölésre. Ezenkívül az Ügyfél1 adatkezelési célként úgy fogalmaz, hogy a Honlapon orvosokkal való kapcsolatfelvételre, személyes adatok (név, e-mail cím), illetve egészségügyi és mentális problémák megosztására, valamint egy letölthető státuszfelvevő kérdőív kitöltésével részletes egészségügyi anamnézisre és megosztására van lehetőség (lásd a Tájékoztató 1. pontjában). A Tájékoztató az adatkezelés kapcsán nem adatkezelési célokat, hanem választható szolgáltatásokat sorol fel, és nem konkretizálja, hogy melyik egészségügyi szolgáltatáshoz milyen adatkezelési cél tartozik, illetve melyik esetben van lehetőség személyes vagy egészségügyi adatok megosztására annak ellenére, hogy az Ügyfél1 a homeopátiás kezelés mellett pszichoterápiás szolgáltatást is nyújt. Az sem derül ki, pontosan melyik egészségügyi szolgáltatás igénybevétele esetén szükséges a státusz-felvevő kérdőív kitöltése. Továbbá a Tájékoztatóban olvasható adatkezelési cél meghatározásánál használt „praktizáló orvosok” kifejezés sem helytálló, mivel a Honlappal illetve az Ügyfél1-gyel kapcsolatosan kizárólag egy homeopata orvos praktizál.

## (77) A fentiek alapján megállapítható, hogy a vizsgált időszakban az Ügyfél1 nem határozta meg konkrétan és egyértelműen egészügyi szolgáltatásainak adatkezelési céljait, ezért az Ügyfél1 megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdésének c)

pontját. (78) Az Ügyfél1 az adatkezelésének időtartalmáról annyit jelez, hogy „Amennyiben a felhasználó igénybe veszi az 1. pontban említett „kapcsolatfelvételi” vagy „egészségügyi anamnézis és státusz megosztási” lehetőségeket, az ennek során közölt személyes adatokat elektronikusan és papír alapon tárolja, az esetleges gyógykezelésen túl is megőrzi abból a célból, hogy egy későbbi időpontban felhasználható legyen további terápiás javaslatok megalapozására.” (lásd a Tájékoztató 2. pontjában). A Tájékoztatóban írtak azonban nem nyújtanak információt egyik adatkezelési időtartamára sem (lásd kapcsolatfelvétel, homeopátiás esetfelvétel, pszichoterápiás kezelés), így az érintett egyik adatkezelés esetén sem kap információt, hogy pontosan mennyi ideig tárolja az Ügyfél1 adatait.

(79) A Tájékoztatóban írtak alapján megállapítható, hogy az adatkezelések jogalapja az érintett hozzájárulása (lásd a Tájékoztató 4. pontját). Ebben az esetben az Ügyfél1-nek arról is tájékoztatnia kellene az érintettet, hogy az adatkezelés időtartama a hozzájárulás visszavonásáig tart. Ezenkívül mivel az Ügyfél1 egészségügyi adatokat is kezel, emiatt az erre vonatkozó adatmegőrzési kötelezettségéről is tájékoztatást kellene nyújtania. Az erre vonatkozó adatkezelési időtartamot az Eüak. 30. § (1) bekezdése szabályozza, amely szerint az adatokat 30 évig köteles megőrizni. A Tájékoztató azonban erre vonatkozó információt nem tartalmaz.

(80) Hivatkozva a Felek azon nyilatkozatára, miszerint amennyiben a páciens a kérdőív elküldését követően nem veszi igénybe a homeopátiás kezelést, a Homeopata orvos a kérdőívet haladéktalanul törli és azt semmilyen célra nem használja fel. Azonban a Tájékoztató nem nyújt információt, hogy a kérdőívet kitöltő, de később a szolgáltatást nem igénybe vevő személyek adatait az Ügyfél1 meddig kezeli. Továbbá az Ügyfél1 az adatokat nemcsak a gyógykezelés céljából tárolja, hanem későbbi terápiás javaslatok miatt, ami új adatkezelési célt jelent, ez azonban nem szerepel a Tájékoztató 1. pontjában.

## (81) A fentiek alapján megállapítható, hogy a vizsgált időszakban az Ügyfél1 nem adott megfelelő, teljeskörű és pontos tájékoztatást az adatkezelései időtartamáról az érintetteknek, ezért az Ügyfél1 megsértette az általános adatvédelmi rendelet 13. cikk

(2) bekezdés a) pontját.

(82) A Tájékoztatóban hiányzik a GDPR 6. cikk (1) bekezdésében meghatározott jogalapokra való hivatkozás (lásd a Tájékoztató 4. pontjában). Emellett az Ügyfél1 nem pontosította, hogy melyik egészségügyi szolgáltatására vonatkozik az egészségügyi anamnézis és státusz megosztása, amelynek jogalapja a Tájékoztató elfogadása, amit az érintett az erre vonatkozó dokumentumok kitöltésével és az adott e-mail címre való visszaküldésével ad meg. A Honlap és az Ügyfél1 nyilatkozata alapján kiderül, hogy ez a homeopátiás esetfelvételhez szükséges […] kérdőívekhez kapcsolódik, azonban a Tájékoztató erről nem nyújt tájékoztatást. Márpedig az egészségügyi anamnézis és státusz megosztása kifejezés egyértelmű meghatározása nélkül az érintett számára nem világos, hogy pontosan mi a pszichoterápiás kezeléshez és a homeopátiás esetfelvételhez kapcsolódó adatkezelések jogalapja.

(83) Ezenkívül a Tájékoztató 2. pontjában szereplő, terápiás javaslatok céljából történő adatkezelés új adatkezelési célnak minősül, így ehhez külön jogalap megjelölése, valamint külön tájékoztatás lenne szükséges.

## (84) Mivel az Ügyfél1 nem hivatkozott a GDPR 6. cikk (1) bekezdésében meghatározott jogalapokra, nem határozta meg a Tájékoztatóban az egészségügyi anamnézis és státusz megosztás fogalmát, valamint a terápiás javaslatok céljából végzett adatkezeléshez sem nyújtott információt annak jogalapjáról, az Ügyfél1 megsértette az

általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pontját.

## (85) Az Ügyfél1 megsértette a GDPR 13. cikk (2) bekezdés b) pontját, mivel az érintetti jogokra

vonatkozó tájékoztatásként lényegében a GDPR szövegét másolta be, és ez nem igazodik az Ügyfél1 Honlapján megvalósuló adatkezeléshez. Az Ügyfél1 tájékoztatja az érintettet a tiltakozáshoz való jogáról is (lásd a Tájékoztató 6. pontját), azonban egyetlen adatkezelése sem alapul a GDPR 6. cikk (1) bekezdés f) pontján, így ez a jogosultság ebben az esetben nem releváns. Mivel az Ügyfél1 egészségügyi adatokat is kezel, a törléshez kapcsolódó érintetti jogosultság ismertetésekor szükséges lenne tájékoztatni az érintettet arról, hogy mely egészségügyi adatok esetében nem lehetséges az érintett törléshez való jogosultsága, mivel az Eüak. rendelkezései alapján azok tárolása törvényi kötelezettség okán 30 évig szükséges. A Hatóság hangsúlyozza, hogy a tájékoztatási kötelezettség nem teljesíthető pusztán jogszabályhelyek bemásolásával, mechanikus átvételével, mert a kötelezettség teljesítéséhez az adatkezelő saját adatkezelési gyakorlatának bemutatására, áttekintésére van szükség, valamint ehhez kapcsolódóan az érintett jogaira vonatkozó világos, közérthető és pontos információt kell nyújtani.

## V.2.3. Egyéb

(86) Az állami cégnyilvántartás szerinti cégkivonat szerint az Ügyfél1-nek nincs elektronikus kézbesítési címe elérhetőségként megadva, hanem az Ügyfél1 hivatalos elérhetősége a cégkapuja. Az Ügyfél1 a tagjának, a Homeopata orvosnak a magán email-címét teszi közzé a Weboldalon, illetve maga a Homeopata orvos használja ezt az elérhetőséget az Ügyfél1 tevékenysége keretén belüli szakmai munkája során, továbbá magáncélú levelezésre is. Tehát a Honlapon keresztül történő kapcsolatfelvétel során megadott részletes, nagy mennyiségű és érzékeny személyes adatok, vagyis a homeopátiás esetfelvételhez kapcsolódó, névvel és azonosító adatokkal kitöltött kérdőívek a […] e-mail címre érkeznek.

(87) Az email-es levelező rendszerek adatvédelmi kockázata, hogy alapértelmezésben csak átviteli titkosítást (TLS) alkalmaznak: az üzenet a szerverek közötti úton titkosítva van, de nem végponttól végpontig. A levelezőrendszer szerverein a levelek olvasható formában tárolódhatnak, így azokhoz a szolgáltató rendszergazdái vagy automatizált rendszerei hozzáférhetnek. Ez különösen aggályos, ha egészségügyi, és ezen belül is különösen érzékeny intim információkról van szó, mint jelen esetben a kitöltött kérdőívek megküldése esetén. A végponttól végpontig titkosított küldés (például S/MIME vagy kliensoldali titkosítás) ugyanis nem alapértelmezett funkció az email-es levelezőrendszerek esetében, hanem ez a funkció csak külön tanúsítvány kiváltásával biztosítható. Jelen esetben az érintetteknek nincs lehetősége más, adatbiztonsági szempontból megfelelőbb módon rendelkezésre bocsátani a homeopátiás esetfelvételhez kapcsolódó kérdőíveket, mivel a Honlapon csak a […] e-mail címre történő adattovábbítás szerepel.

(88) Az egészségügyi adatok mint különleges kategóriájú adatok kezeléséhez, valamely email-es levelező rendszer használatával való rendszeres küldéséhez, felvételéhez kiemelten magas szintű védelmi intézkedések és garanciák szükségesek, viszont a levelezőrendszerek különösen a megfelelő titkosítási és hozzáférés-védelmi megoldások hiányában – önmagában nem biztosítanak elegendő garanciát az adatok megfelelő védelméhez, és további garanciák biztosítása szükséges, mely az adatkezelő felelőssége. Az Ügyfél1-nek is mint különleges adatokat kezelő szolgáltatónak biztosítania kell, hogy szakmai tevékenysége során a kezelt személyes adatokat megfelelő adatbiztonsági intézkedésekkel védje, a felmerülő kockázatokat felmérje, értékelje, csökkentse, illetve megvizsgálja olyan módszerek alkalmazását – pl. saját felületen űrlap alkalmazása, pszeudonim adatok bekérése az adatfelvétel első szakaszában - , amelyekkel az adatbiztonsági kockázatok csökkenthetőek az email-es levelezőrendszer használatához képest.

(89) A fentiekkel kapcsolatban a Hatóság jelen ügyben megállapítást nem tesz, hanem mivel adatbiztonsági, kockázatkezelési tekintetben a rendelkezésre álló információk alapján az Ügyfél1-re vonatkozóan jogsértés gyanúja merült fel, ezért a Hatóság megfontolja e tárgyban külön eljárás indítását.

## V.3. A Honlapon közzétett esettanulmány értékelése

## V.3.1. Az érintett azonosíthatósága

(90) A Honlapon 2021. március 22.-től az eljárás megindulásáig elérhető „[…]” című cikk a

Homeopata orvos homeopátiás esetét ismerteti.14 Az esettanulmányban írtak szerint 2017. szeptemberében egy férfi beteg kereste fel a Homeopata orvost. A cikk részletesen leírja a páciens pszichés panaszait, ismerteti a páciens szexuális irányultságát, vallási hovatartozását, leírja, hogy milyen egyetemi szakon végzett, hogy akkoriban albérletben élt lakótársakkal, és hogy a […] dolgozott. (91) A GDPR az azonosíthatóság körében minden objektív tényező együttes vizsgálatát követeli meg, azokat is, amelyek akár közvetve alkalmasak az érintett azonosítására. A GDPR szerint valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja.

(92) A 29. cikk alapján létrehozott Adatvédelmi Munkacsoport15 4/2007. sz. véleménye a személyes adat fogalmáról az azonosítás/azonosíthatóság körében a következőket fogalmazza meg.

14 NAIH-7724-7/2025. sz. szóló feljegyzésben.

15 Ez a munkacsoport a 95/46/EK irányelv 29. cikke alapján jött létre. Független európai tanácsadó szerv volt adatvédelmi, valamint a magánélet tiszteletben tartásával kapcsolatos kérdésekben.

Általában véve egy természetes személyt „azonosítottnak” tekinthetünk, ha személyek egy csoportján belül „elkülönül” a csoport valamennyi egyéb tagjától. Következésképpen a természetes személy akkor „azonosítható” — még ha az azonosításra eddig nem is került sor —, ha ennek megtétele lehetséges (ez a „-ható” képző jelentése). Így a gyakorlatban e második lehetőség az a küszöbfeltétel, amely meghatározza, hogy az információ az azonosíthatóság, mint fogalmi elem körébe tartozik-e.

(93) A Kúria Kfv.lll.37.911/2017/8. számú ítélete szerint „az érintett azonosíthatósága kérdését illetően általánosságban elmondható, hogy annak mértéke, amennyire az azonosításhoz bizonyos adatokra szükség van, az az adott helyzet körülményeitől függ. A természetes személy akkor azonosítható, ha ennek megtétele a rendelkezésre álló adatok és információk alapján lehetséges. Egy természetes személyt közvetlenül azonosítani lehet a neve alapján, vagy közvetett módon például valamely azonosító jele alapján. Egy nagyon gyakori családnév nyilvánvalóan nem elegendő azonosító adat valaki közvetlen azonosításához, például, hogy azonosítsák egy város lakosságából, azonban egy szűkebb csoportot tekintve már azonosítható lehet. Az azonosítást az adott természetes személyre vonatkozó kiegészítő információ is segítheti. Mindig az adott eset körülményeitől függően kell tehát azt megítélni, hogy a természetes személy, akire az azonosító adat vonatkozik, azonosítható-e.”

(94) A Hatóság értékelése szerint mivel Magyarországon kizárólag egyetlen […] működik, és a páciens életkora is pontosan meghatározott, továbbá ismert a végzettsége és az, hogy mely munkahelyen dolgozott, az esettanulmány alapján a páciens beazonosíthatóvá vált. Az így közölt adatok alapján a páciens családtagjai, ismerősei és munkatársai számára az azonosíthatóság lehetővé vált.

(95) A Homeopata orvosnak törekedni kellett volna arra, hogy az esettanulmányban kevesebb, a páciens beazonosítására alkalmas adatot szerepeltessen, például az életkort „húszas évei elején járó férfi”-ként, a munkahelyet „budapesti […] ként”, a tanulmányokat pedig „felsőfokú végzettséggel rendelkező személyként” írja le. Ezáltal jobban érvényesülhetett volna a páciens anonimitása. Ez különösen lényeges, mivel a tanulmány olyan érzékeny személyes adatokat (pszichés problémák, szexuális irányultság, vallási hovatartozás) is tartalmaz, amelyek bizalmasak, intimek és csak a kezelőorvosra tartoznak, és mások általi megismerésük különösen zavaró és kellemetlen lehet. Ha az esettanulmány célja szakmai tájékoztatás volt, úgy az érintett azonosítására alkalmas konkrét információk közlése nem volt szükséges.

(96) A Homeopata orvos nyilatkozata szerint az esettanulmányban szakmailag indokolt és fontos volt a munkahely megjelölése, ugyanis a beteg munkahelyválasztása a beteg rendhez és fegyelemhez történő erős vonzódásának egyfajta vetülete. Továbbá a páciens részletes bemutatásának és elemzésének, a részletes esetismertetésnek kiemelt szerepe van és mindenképpen szükséges. A Hatóság nem vonja kétségbe mindezen sok adat speciális szakmai tevékenységhez való szükségességét, azonban e szakmai tevékenységtől megkülönböztetendő az adatok közzététele és ezáltal mások tájékoztatása. Ennek során kiemelten ügyelni kell az anonimizálás mikéntjére, és nem elegendő a páciens nevének kihúzása, hanem az azonosíthatóság teljes mértékű kizárására kell törekedni. Ez annál is inkább fontos szempont, mert az esettanulmány nem egy szűk személyi körben lett nyilvánosságra hozva, hanem olyan Honlapon, mely bárki számára elérhető, így a páciens családtagjai, ismerősei, munkatársai, mint homeopátia iránt esetlegesen érdeklődő személyek rátalálhattak az esetleírásra és ráismerhettek a páciensre.

(97) Amint a határozat 65. bekezdése tartalmazza, az esettanulmányt a Homeopata orvos saját terápiás esete alapján készítette és írta meg, így egyértelműen ő minősül a mű szerzőjének és a szerzői jogok jogosultjának. A tanulmány elkészítése során az orvos határozta meg, hogy mely személyes adatokat, milyen módon használ fel, valamint azt is, hogy a személyes adatok mely köre szükséges a tanulmány elkészítéséhez, ezért e körben adatkezelői felelőssége megállapítható. (98) Továbbá az esettanulmány az Ügyfél1 Honlapján is közzétételre került. Az esettanulmány közzététele adatkezelésnek minősül, mivel személyes adatok felhasználását és nyilvánosságra hozatalát foglalja magában, amely a GDPR 4. cikk 2. pontja szerinti adatkezelési művelet. Az adatok kiválasztása, feldolgozása és közzététele az adatkezelő döntése alapján történik, így az adatkezelés célja és eszközei meghatározásra kerülnek. (99) A Hatóság megállapítja, hogy az Ügyfél1-nek is mérlegelnie kellett volna a tanulmány közzététele előtt, hogy az érintett azonosíthatósága fennáll-e, és ezt jelezhette volna a Homeopata orvosnak, azonban az Ügyfél1 az esettanulmány megfelelő anonimizálása érdekében nem tett intézkedést/jelzést, a tanulmányt változtatás nélkül vette át a Homeopata orvostól. Mivel a határozat (56)-(59) és (61) bekezdése szerint az Ügyfél1 felel a Honlapon megvalósuló adatkezelésért – így az esettanulmány közzétételéért is - ezért az Ügyfél1 adatkezelői felelőssége megállapítható. (100)

## Mivel az esettanulmányban feltüntetett munkahelyre, életkorra és tanulmányokra vonatkozó konkrét információk feltüntetése nem volt szükséges a páciens esetének bemutatásához, a Homeopata orvos a tanulmány megírása során, az Ügyfél pedig a

Honlapon történő közzététellel sértette meg a GPDR 5. cikk (1) bekezdés c) pontját.

## V.3.2. Adatkezelés jogalapja

(101) A Felek nyilatkozata szerint a Honlapon elérhető „[…]” című esettanulmányhoz a páciens előzetesen írásban hozzájárulását adta esetének közléséhez. Ennek igazolásaként az Ügyfél1 által mellékelt e-mailben a Homeopata orvos az azonosíthatóság teljes kizárása mellett kérte a páciens hozzájárulását esetének publikálásához. A páciens válaszemailben jelezte hozzájárulását. A Hatóság értékelése alapján azonban az esettanulmányban feltüntetett munkahelyre, életkorra és tanulmányokra vonatkozó információk lehetővé tették a páciens beazonosítását, így a páciens anonimitása nem valósult meg. (102) Hozzájárulás igazolásaként csatolt e-mailben a Homeopata orvos ráadásul egy […]

folyóiratban történő publikáláshoz kérte a páciens beleegyezését. Ugyanakkor az esettanulmány a […] honlapon is megjelent. A cikk 2021. március 22.-től az eljárás megindulásáig elérhető volt a Honlapon. (103) Tehát megállapítható, hogy a páciens kifejezetten a teljes anonimitás mellett, annak hiszemében engedte az esettanulmány közzétételét egy szakmai folyóiratban, azonban a Felek nem biztosították a szükséges anonimizálást, és a cikk a páciens beleegyezése nélkül a Honlapon is publikálásra került. A Honlapon megvalósuló adatkezelésért az Ügyfél1 felel, így ő hozta meg a közzétételre vonatkozó döntést és ő biztosította annak technikai feltételeit. Ennek megfelelően az érintetti hozzájárulás beszerzésére a Homeopata orvos munkavállalói minőségében, az Ügyfél1 nevében került sor. A Honlapon történő közzétételhez szükséges megfelelő érintetti hozzájárulás meglétéért az Ügyfél1 adatkezelőként vonható felelősségre. Erre tekintettel az Ügyfél1 megsértette a GDPR 6. cikk (1) bekezdés a) pontját.

## VI. Jogkövetk ezm énye k

(104) A Hatóság megvizsgálta, hogy indokolt-e az Ügyféllel szemben adatvédelmi bírság kiszabása. A z ügy egyedi jellege, az eljárás elhúzódása miatt a Hatóság bírságot nem szabott ki.

(105) A Hatóság a GDPR 58. cikk (2) bekezdés b) pont alapján elmarasztalja az Ügyfél1-et, mert megsértette a GDPR 13.cikk (1) bekezdés c) pontját, 13.cikk (2) bekezdés a), b) pontját, a GDPR 6. cikk (1) a) és a 9. cikk (2) bekezdés a) pontjait, valamint elmarasztalja a Feleket, mivel megsértették a GDPR 5. cikk (1) bekezdés c) pontját. (106) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) alapján hivatalból utasítja az Ügyfél 1-et, hogy a jelen határozat indokolásában kifejtett követelményeknek megfelelően módosítsa adatkezelési tájékoztatásának tartalmát és adatkezelési gyakorlatát, és ezt igazolja a Hatóságnak.

## VII. Egyéb kérdések

(107) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. (108) A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése és (4) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * (109) Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. (110) A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.

(111) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pontjának aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

(112) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX.

törvény 604. §-a szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

(113) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul.

(114) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

(115) Ha az előírt kötelezettségek teljesítését az Ügyfél1 megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha az Ügyfél1 a Hatóság végleges döntésében foglalt kötelezéseknek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja Kelt: Budapest, az elektronikus aláírás és időbélyeg szerint

Dr. habil. Péterfalvi Attila elnök, c. egyetemi tanár