Орган по защите данных Венгрии (NAIH): запрос личных данных в мэрии

Ügyszám: NAIH/2019/3417/ Tárgy: kérelemnek részben helyt adó határozat és megszüntető végzés

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező

([…]; a továbbiakban: Kérelmező) kérelmére személyes adatai jogellenes kezelésének tárgyában a

[…] Közös Önkormányzati Hivatallal ([…] a továbbiakban: Kérelmezett) szemben indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza.

I. A Hatóság a határozatában a Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kérelmezett a Kérelmező személyes adatait a GDPR 5. cikk (1) bekezdés

b) pontja szerinti célhoz kötöttség elvét megsértve jogellenesen kezelte, amikor az adatokat a személyiadat- és lakcímnyilvántartásból lekérdezte és megtekintette. II. A Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette a GDPR 24. cikk (1) bekezdését, mert rendelet alkalmazandóvá válásától a személyiadat- és lakcímnyilvántartásból történő lekérdezésekkel kapcsolatosan nem foganatosított adatbiztonsági intézkedéseket. III. A Hatóság hivatalból elrendeli jelen határozat nyilvánosságra hozatalát a Hatóság honlapján. IV. A Hatóság a Kérelmező kérelmének a személyes adatai jogellenes adatkezelése megtiltására irányuló részében indult adatvédelmi hatósági eljárást végzéssel megszünteti. V. A Hatóság tekintettel arra, hogy túllépte az ügyintézési határidőt, 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet. A Hatóság az I.-III. pontban foglalt határozatával és a IV.-V. pontban foglalt végzésével szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A kizárólag az eljárást megszüntető végzéssel szembeni perben a bíróság az egyszerűsített per szabályai szerint jár el. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I. Az eljárás menete és a tényállás tisztázása

A Kérelmező 2019. április 5. napján a személyes adatainak kezelése tárgyában adatvédelmi hatósági eljárási iránti kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy a Kérelmezett 2018. október 30. napja és 2019. február 4. napja között 33 alkalommal kérte le személyes adatait a személyiadat- és lakcímnyilvántartásból. Továbbá kijelentette, hogy a Kérelmezettel semmilyen kapcsolata nincs.

A Hatóság a 2019. április 17. napján kelt végzésében hiánypótlásra szólította fel a Kérelmezőt. A Kérelmező 2019. május 6. napján beérkezett válaszában kérte a Hatóságtól, hogy állapítsa meg a Kérelmezett jogellenes adatkezelését és tiltsa meg az adatok jogellenes kezelését. A Hatóság a NAIH/2019/3417/4. számú végzésében megkereste a Kérelmezettet a tényállás tisztázása érdekében, illetve a NAIH/2019/3417/5. számú végzésében belföldi jogsegély iránti kérelemmel fordult a Belügyminisztérium Nyilvántartások Vezetéséért Felelős Helyettes Államtitkárság, Személyi Nyilvántartási és Igazgatási Főosztály Operatív Szolgáltatási Osztályához. A Kérelmezett, a 2019. június 5. napján beérkezett válaszában tájékoztatta a Hatóságot, hogy egy vizsgálat keretében 2018.10.30-án, 2018.10.31-én, 2018.11.05-én, 2018.11.07-én, 2018.11.12-én, 2018.11.14-én, 2018.11.19-én, 2018.11.21-én, 2018.12.04-én, 2018.12.10-én, 2018.12.13-án, 2018.12.14-én, 2018.12.17-én, 2018.12.18-án, 2018.12.20-án, 2018.12.21-én, 2019.01.02-án, 2019.01.03-án, 2019.01.04-én, 2019.01.07-én, 2019.01.08-án, 2019.01.10-én, 2019.01.11-én, 2019.01.14-én, 2019.01.15-én, 2019.01.18-án, 2019.01.22-én, 2019.01.23-án, 2019.01.24-én, 2019.01.25-én, 2019.01.28-án, 2019.01.30-án és 2019.02.04-én statisztikai célból, kizárólag a […] cím esetében történetek a lekérdezések. A Kérelmezett tájékoztatása szerint közérdekű bejelentés alapján vizsgálatot folytatott a […] községben, 2018. decemberében történt tömeges lakcímlétesítések ügyében, amelyekkel vélhetően a 2019. évi őszi polgármester választás eredményét kívánták befolyásolni. A vizsgálat keretében kérdezték le a fent megnevezett ingatlan adatait a személyiadat- és lakcímnyilvántartásból. A Hatóság a […] Önkormányzati Elektronikus Törzsadattárban (a továbbiakban: Törzsadattár; […]), 2019. július 2. napján végzett lekérdezés alapján, továbbá a 2014. december 11. napján kelt, a […] Közös Önkormányzati Hivatal létrehozásáról szóló megállapodás ([…]), illetve a 2013. január 25. napján kelt, […] Közös Önkormányzati Hivatal Alapító Okirata ([…]) alapján megállapította, hogy […] község nem tartozik a Kérelmezett illetékességi területe alá, hanem a […] KÖH ([…]) tagja. A Hatóság ezért újabb tényállástisztázásra szólította fel a Kérelmezettet, hogy milyen jogalap és jogszabályi felhatalmazás alapján járt el, és kezelte a Kérelmező adatait. A Belügyminisztérium 2019. június 3. napján beérkezett leveléhez mellékelte a 2018. október 30. és 2019. február 4. közötti időszakban végzett lekérdezések naplókivonatát, illetve a lekérdező felhasználói adatlapját. A tájékoztatásból megállapítható, hogy a lekérdezéseket 33 alkalommal a Kérelmezett egyik alkalmazottja hajtotta végre, aki a Kérelmező személyes adatait 16 alkalommal – 2018.10.30-án 2 alkalommal, 2018.11.05-én, 2018.11.12-én, 2018.11.14-én, 2018.11.19-én, 2018.11.21-én, 2019.01.10-én 2 alkalommal, 2019.01.14-én, 2019.01.15-én, 2019.01.18-án, 2019.01.22-én, 2019.01.24-én, 2019.01.25-én és 2019.01.28-án – tekintette meg részletesen. A Kérelmezett 2019. július 23. napján beérkezett válaszában arról tájékoztatta a Hatóságot, hogy egy belső vizsgálat során fény derült arra, hogy a Kérelmezettnek a Települési Szolgáltató Rendszerhez (a továbbiakban: TSZR) hozzáférő alkalmazottja kérdezte le a Kérelmező személyes adatait a személyiadat- és lakcímnyilvántartásból a kérdéses időszakban. A Kérelmezett alkalmazottjával szemben a szükséges intézkedést meghozta. A Kérelmezett továbbá intézkedéseket vezetett be az adatbázisokból történő lekérdezések nyomon követhetősége érdekében. Vagyis a TSZR, a Cím- és Környezetnyilvántartás, az e-Anyakönyv és a Vizuál Regiszter nyilvántartásokból történő lekérdezésekor naplóban rögzíteni kell az adatkezelések célját és jogalapját. A Kérelmezett arról is értesítette a Hatóságot, hogy az ügyben a […] Rendőrkapitányság a Büntető Törvénykönyvről szóló 2012. évi C. törvény 219. §-a szerinti személyes adattal visszaélés vétségének gyanúja miatt, ismeretlen tettes ellen folytat eljárást. A Kérelmezett válaszához csatolta az alkalmazottja nyilatkozatát tartalmazó jegyzőkönyvet, miszerint az ügyintéző elismeri, hogy a kérdéses időszakban jogalap és felhatalmazás nélkül hajtott végre lekérdezéseket a TSZR-ben a fent nevezett lakcím esetében. Az ügyintéző előadta továbbá, hogy azért végzett több alkalommal lekérdezést, mert egy idő után több személy neve jelent meg. 2018. decemberében tudomására jutott, hogy […] polgármestere szavazópolgárokat jelent be a nagybátyjához a választás miatt, azért, hogy több szavazatot kapjon, illetve a 2018. december […]ai közmeghallgatás jelenléti ívén látta, hogy […] polgármestere és a Kérelmező lakcímként a […] számot jelölte meg. A Kérelmezett ügyintézője nyilatkozata szerint a lekért személyes adatokkal nem élt vissza, amit a […] Önkormányzati Hivatallal és a Nemzeti Választási Irodával folytatott levelezés másolatával kívánt igazolni. Álláspontja szerint fiktív lakcímbejelentésekkel jogszerűtlenül befolyásolni lehet az őszi választások eredményét, különösen egy kistelepülésen, ahol a választásra jogosultak száma 50 fő.

II. Az ügyben alkalmazandó jogszabályok

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendelet (a továbbiakban: GDPR) 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

A GDPR 4. cikk 7. pontja kimondja, hogy az „adatkezelő”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

A GDPR 5. cikk (1) bekezdés b) pontja alapján: „A személyes adatok: b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”).”

A GDPR 6. cikk (1) bekezdése szerint a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;

(3) Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:

a) az uniós jog, vagy b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik. A GDPR 58. cikk (2) bekezdés alapján a felügyeleti hatóság korrekciós hatáskörében eljárva: b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték;

i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett.

Az Infotv. 61. § (2) bekezdés b) pontja alapján a Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő - nyilvánosságra hozatalát, ha azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta.

Az Ákr. 47. § (1) bekezdése szerint a hatóság az eljárást megszünteti, ha c) az eljárás okafogyottá vált, Magyarország helyi önkormányzatairól szóló 2011. évi CLXXXIX. törvény (a továbbiakban: Mötv.) 81. § (1) bekezdése kimondja, hogy a jegyző vezeti a polgármesteri hivatalt vagy a közös önkormányzati hivatalt.

Az Mötv. 83. § előírja, hogy a jegyzőre vonatkozó rendelkezéseket a közös önkormányzati hivatal jegyzőjére is alkalmazni kell az alábbi eltérésekkel:

a) valamennyi érintett településen ellátja a jegyző feladatait; Az Mötv. 84. § (1) bekezdése alapján a helyi önkormányzat képviselő-testülete az önkormányzat működésével, valamint a polgármester vagy a jegyző feladat- és hatáskörébe tartozó ügyek döntésre való előkészítésével és végrehajtásával kapcsolatos feladatok ellátására polgármesteri hivatalt vagy közös önkormányzati hivatalt hoz létre.

A polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. törvény (a továbbiakban: Nytv.) 21. § szerint: e törvény felhatalmazása alapján a 17. § (2) bekezdésének b) pontja szerinti adatokat jogosultak igényelni:

a) a helyi önkormányzatok szervei törvényben vagy önkormányzati rendeletben meghatározott feladataik ellátásához; Az Nytv. 17. § (2) bekezdése alapján: a nyilvántartásból adatok az alábbi csoportosítás szerint szolgáltathatók:

b) természetes személyazonosító adatok és lakcímadatok, értesítési cím adatok, állampolgárság, családi állapot, a házasságkötés vagy bejegyzett élettársi kapcsolat létesítésének helye, a nem, a nyilvántartásból való kikerülés oka, helye és ideje;

Az Nytv. végrehajtásáról szóló 146/1993. (X. 26.) Korm. rendelet (a továbbiakban: Vhr.) 22. § (1) bekezdése szerint az adatszolgáltatás igénylésekor az érintett polgár azonosításra alkalmas természetes személyazonosító adatait, illetve lakcímét, csoportos adatszolgáltatás igénylése esetén a csoportismérveket, a személyazonosító igazolványra vonatkozó adat igénylésekor pedig az igazolvány okmányazonosítóját kell megadni. Ha a csoportismérv olyan következtetések levonására alkalmas, amelynek alapján valószínűsíthető az érintett személyek faji eredete, nemzeti, nemzetiségi hovatartozása, vallásos vagy más meggyőződése, az adatszolgáltatási kérelem nem teljesíthető, kivéve, ha ezeknek az adatoknak a kezelésére törvény a kérelmezőt feljogosítja.

A Vhr. 27. § (1) bekezdése alapján a jegyző az általa vezetett nyilvántartásból külön kérelem nélkül is felhasználhat, illetve szolgáltathat adatot ugyanazon települési önkormányzat képviselőtestületének, polgármesterének, illetve a polgármesteri hivatal ügyintézőjének feladatai ellátásához, feltéve, hogy ezt törvény vagy törvény felhatalmazása alapján önkormányzati rendelet lehetővé teszi. Az e rendelkezések alapján teljesített adatszolgáltatást is fel kell tüntetni az adatszolgáltatási nyilvántartásban.

Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 51. § b) pontja alapján, „ha a hatóság az ügyintézési határidőt túllépi – és függő hatályú döntés meghozatalának nem volt helye – tízezer forintot megfizet a kérelmező ügyfélnek, aki mentesül az eljárási költségek megfizetése alól is.”

III. Döntés

III. 1. A Kérelmezett tevékenysége A Kérelmezett által sérelmezett tevékenység a személyes adatainak a személyiadat- és lakcímnyilvántartásból 33 alkalommal történt lekérdezése volt. A GDPR 4. cikk 2. pontja szerint adatkezelésnek minősül a személyes adatokat nyilvántartó közhiteles elektronikusan kezelt hatósági nyilvántartásba való betekintés, a nyilvántartásból való lekérdezés. A rendelkezésre álló információk alapján megállapításra került, hogy a személyiadat- és lakcímnyilvántartásból 2018. október 30. és 2019. április 4. napja között történt lekérdezések közvetlenül nem a Kérelmező adataira irányultak. A Kérelmezett ügyintézője a személyiadat- és lakcímnyilvántartásban a Kérelmező adatait azért tekintette meg, mert a lekérdezései alkalmával megadott Vhr. 22. § (1) bekezdése szerinti keresési ismérvnek, a lakcím adatnak a Kérelmező is megfelelt, ezért a találati listában a Kérelmező személyes adatai is megjelenítésre kerültek. III. 2. A Kérelmező személyes adatai lekérdezésének célja és jogalapja 2.1. A GDPR alapján fontos, hogy az adatkezelési cél jogszerű legyen, jog gyakorlását vagy kötelezettség teljesítését szolgálja. Az adatkezelésnek az adatkezelési folyamat minden szakaszában illetve minden adatkezelési műveletet tekintve meg kell felelnie ennek a célnak. A Kérelmezett az eljárás során tett első nyilatkozata szerint közérdekű bejelentés alapján vizsgálatot folytatott le, mert a 2019. őszi […] polgármesteri választás befolyásolása céljából többen lakcímet létesítettek a községben. Ezért, 2018. október 30. és 2019. február 4. napja között 33 alkalommal kérdezte le a nevezett […] ingatlan és egyben a Kérelmező személyes adatait a személyiadat- és lakcímnyilvántartásból. A Panasztv. 4. §-a értelmében közérdekű bejelentéssel bárki fordulhat a közérdekű bejelentéssel összefüggő tárgykörben eljárásra jogosult szervhez. A Hatóság a Törzsadattárban végzett lekérdezés, illetve a […] Közös Önkormányzati Hivatal Alapító Okirata alapján megállapította, hogy […] község nem a Kérelmezett, hanem […] Közös Önkormányzati Hivatal illetékességi területe alá tartozik, tehát a […] ingatlanokat érintő közérdekű bejelentések ügyében nem illetékes. Mivel a Hatóság megállapította, hogy a Kérelmezett ügyintézője az illetékességi területén kívül eső település esetében kérdezett le a hatósági nyilvántartásból személyes adatokat, ezért a tényállás tisztázása céljából újabb nyilatkozattételre hívta fel a Kérelmezettet. A Hatóság második megkeresésére válaszolva a Kérelmezett már azt a választ adta, hogy „a megkeresésében közölt napokon a Települési Szolgáltató Rendszerhez hozzáférési jogosultsággal rendelkező ügyintéző hajtott végre a lakcímre történt keresést”. A belső vizsgálata során kiderített tényeket a válaszleveléhez mellékelt jegyzőkönyv tartalmazta, mely szerint az ügyintéző azt nyilatkozta, hogy - a „TSZR rendszerben lakcímre történő keresést hajtottam végre, személyre történt keresést nem. Hivatalbóli ügy nem volt, jogalapja sem volt”. A lekérdezésnek valójában a […] településen terjedő azon tavalyi szóbeszéd valóságtartalmának ellenőrzése volt a célja, hogy polgármester, ha kell bejelent sok személyt a nagybátyjához azért, hogy ő nyerje meg a 2019. évi önkormányzati polgármester választást. A GDPR 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az ott felsorolt jogalapok egyike fennáll.

A GDPR 6. cikk (3) bekezdése azt írja elő, hogy az (1) bekezdés c) és e) pontja szerinti adatkezelés (a továbbiakban együttesen: kötelező adatkezelés) jogalapját tagállami vagy uniós jognak kell megállapítania. Ezt a rendelkezést egészíti ki az Infotv. 5. § (3) bekezdése azzal, hogy az adatkezelés jogalapját megállapító tagállami jogszabálynak törvénynek vagy törvény felhatalmazása megalkotott önkormányzati rendeletnek kell lennie, figyelemmel az Alaptörvény I. cikk (3) bekezdésében foglaltakra is. A Hatóság megállapította, hogy a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés b) pontját, mert a Kérelmező személyes adatait jogszerű cél nélkül kezelte. Ugyanis a Kérelmező ügyintézője az Nytv. 21. § a) pontja alapján csak abban az esetben végezhetett volna „TSZR rendszerben lakcímre történő keresést”, ha az a Kérelmezett törvényben meghatározott feladata ellátásához szükséges. A Kérelmezett ügyintézője azonban a lekérdezést nem az önkormányzati feladatainak ellátásával összefüggésben, hanem abból a célból végezte, hogy a lakóhelyén a választás tisztaságát kétségbe vonó információkat alátámassza, melyek megalapozhatják a közigazgatás rendje elleni bűncselekmények esetleges fennállását is. 2.2. A Kérelmezett az egyik ügyintézőjének jogosulatlan és felhatalmazás nélküli cselekményével indokolta a 2018. október 30. és 2019. április 4. napja között történt lekérdezéseket. A Hatóság álláspontja szerint ez az érvelés nem mentesíti a Kérelmezettet az adatkezelői felelősség alól, tekintettel arra, hogy a GDPR 4. cikk 7. pontja értelmében a Kérelmezett minősül adatkezelőnek és nem a munkavállalói. A Kérelmezett az, aki megszervezi az adatkezelés folyamatát és kialakítja annak körülményeit, nem pedig az ügyintézők. Az adatkezelő legfontosabb jellemzője az, hogy érdemi döntéshozatali jogkörrel rendelkezik, és felelősséggel tartozik az adatkezelés valamennyi, a GDPR-ban rögzített kötelezettség teljesítéséért. Az Adatvédelmi Irányelv 29. cikke szerint létrehozott Adatvédelmi Munkacsoport (a továbbiakban: Adatvédelmi Munkacsoport) az „adatkezelő” és az „adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében szintén kifejtette, hogy „Végső soron a vállalatot vagy szervet kell felelősnek tekinteni az adatfeldolgozásért és az adatvédelmi jogszabályokból eredő kötelezettségekért, kivéve, ha egyértelmű elemek utalnak arra, hogy egy természetes személy a felelős. […] Azonban az ilyen esetekben is, amikor konkrét természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását vagy hogy személyes adatokat dolgozzon fel, ez a személy nem lesz adatkezelő, hanem annak a jogi személynek (vállalatnak vagy köztestületnek) a nevében jár el, amely adatkezelői minőségében továbbra is felelős az alapelvek megsértése esetén.” Az ügyintéző által jogosulatlanul végzett lekérdezés és betekintés ténye tehát nem minősül kimentési oknak, ebben az esetben is az adatkezelő viseli a felelősséget. Mindezek alapján e határozat szerinti jogsértés a Kérelmezett, mint adatkezelő felelősségi körébe esik. A GDPR 24. cikk (1) bekezdése kimondja, hogy az adatkezelőnek megfelelő intézkedéseket kell végrehajtania annak érdekében, hogy biztosítsa a személyes adatoknak a GDPR-ral való összhangban végzett kezelését. Az Nytv. 30. § (1) bekezdése ugyanezt a kötelezettséget állapítja meg a jegyző, mint hivatalvezető esetében is. A Kérelmezett nyilatkozata szerint a jogosulatlan lekérdezésekről való tudomásvételt követően olyan intézkedést hozott, mely a nyilvántartásokból történt összes adatlekérés céljának és jogalapjának naplózását követeli meg. A Hatóság ebből kifolyólag megállapította, hogy a Kérelmezett jelen ügyet megelőzően nem intézkedett megfelelően, hogy a hozzáférési jogosultsággal bíró alkalmazottjai kizárólag a munkakörüknek megfelelően, a jogszabályok által meghatározott célból és jogalappal, a hatáskörük és illetékességük szerinti eljárások lefolytatásához, rendeltetésszerűen használják az adatbázisokat. Vagyis, a Kérelmezett az elégséges intézkedések meghozatalának hiányával nem előzte meg, hanem teret hagyott arra, hogy az ügyintézői akár öncélúan, saját használatra, megfelelő jogalap nélkül is lekérdezhessenek a nyilvántartásokból.

Fentiekre tekintettel a Hatóság hivatalból megállapította, hogy a Kérelmezett megsértette a GDPR 24. cikk (1) bekezdését, mert jelen ügyet megelőzően nem intézkedett megfelelően, nem foganatosította a jogszerű adatkezelést biztosító intézkedéseket.

4. A jogellenes adatkezelés megtiltása

A válaszlevelek alapján megállapításra került, hogy a személyiadat- és lakcímnyilvántartásból 2018. október 30. és 2019. április 4. napja között történt lekérdezések nem a Kérelmező adataira irányultak. A Kérelmezett jelenleg nem tárolja, illetve az eljárásai során nem használta fel a Kérelmező megtekintett személyes adatait és nem is továbbította azokat harmadik személynek. Mindezekből kifolyólag az eljárásnak a GDPR 58. cikk (2) bekezdés f) pontja szerinti jogsértő adatkezelés megtiltására irányult része okafogyottá vált, ezért a Hatóság az Ákr. 47. § (1) bekezdés c) pontja alapján az eljárásnak ezen részét megszüntette.

5. Jogkövetkezmények

A Hatóság a Kérelmező kérelmének részben helyt ad és a GDPR 58. cikk (2) bekezdés b) pontja alapján elmarasztalja a Kérelmezettet a GDPR 5. cikk (1) bekezdés b) pontjának megsértése miatt, ezzel egyidejűleg a Hatóság a GDPR 24. Cikk (1) bekezdésében foglaltak megsértése miatt hivatalból marasztalta el a Kérelmezettet. A Hatóság elrendelte a határozat nyilvánosságra hozatalát. 6. Ügyintézési határidő túllépése A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek IV. Egyéb kérdések A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A Kérelmezett által becsatolt iratok szerint a […] Önkormányzat jegyzője közérdekű bejelentés alapján megállapította, hogy 2018. decemberében több személy létesített lakóhelyet […] és a bejelentőnek azt tanácsolta, hogy tegyen bejelentést a rendőrségen. Azonban nincs információ arról, hogy mivel a jegyzővel szemben az Ákr. 23. § (4) bekezdése értelmében a lakcímbejelentések fiktív voltának kivizsgálására irányuló eljárásban kizáró ok állt fenn, a területileg illetékes járási hivatalnak jelezte-e a kizáró ok fennállását, a jegyző kezdeményezte-e másik szerv kijelölését. Leírtakra és az Nytv. 26.§ (5a) bekezdésében és a Vhr. 34. § (3) bekezdésében foglaltakra is tekintettel a […] cím alatti lakcímbejelentések érvényességének vagy érvénytelenségének vizsgálata ügyében a Hatóság jelzéssel él a jegyző eljárása felett törvényességi felügyeletet gyakorló Kormányhivatal felé.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 44/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. A közigazgatási szerv törvénysértést megállapító határozata közérdekű adat, és ebben az esetben a határozat nyilvánosságra hozatalára a Kérelmezett azonosító adataival kerül sor. A Hatóság a határozatának a saját honlapján történő nyilvánosságra hozatalát az Infotv. 61. § (2) bekezdés b) pontja alapján rendelte el. Budapest, 2019. szeptember 25.

Dr. Péterfalvi Attila elnök c. egyetemi tanár