Ügyszám: NAIH/2020/200/5. Tárgy: Kérelemnek részben helyt (NAIH/2019/3910.) adó határozat A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] a továbbiakban: Kérelmező) kérelmére 2019. október 22. napján, a […] a továbbiakban: Kérelmezett) által a Kérelmező érintetti jogainak megsértésével kapcsolatban indult, valamint a Kérelmezett közterületet figyelő kameráival kapcsolatos általános adatkezelési gyakorlatra hivatalból kiterjesztett adatvédelmi hatósági eljárásban az alábbi döntéseket hozza: I. A Hatóság

HATÁROZATÁBAN a Kérelmező kérelmének részben helyt ad, és

## 1) megállapítja, hogy a Kérelmezett nem nyújtott megfelelő tájékoztatást a Kérelmező

2018. november 7. napján kelt adatkezelés korlátozásához való joga gyakorlására irányuló kérelmére tett intézkedésekről, továbbá az ezen joga alapján zárolt kamerafelvételek kapcsán az adatkezelés korlátozásának 2018. december 10. napján történt feloldásáról és a felvételek törléséről, és nem nyújtott megfelelő tájékoztatást a felvételek másolata kiadásának jogáról;

## 2) megállapítja, hogy a Kérelmezett nem nyújtott megfelelő tájékoztatást a Kérelmező

2019. március 1. napján kelt, a 2018. november 7-i zárolási kérelmével kapcsolatos intézkedésekről;

## 3) megállapítja, hogy a Kérelmezett nem teljesítette a Kérelmező 2019. március 1. napján

kelt hozzáférési jog gyakorlására irányuló kérelmét;

## 4) megállapítja, hogy a Kérelmezett nem nyújtott megfelelő tájékoztatást a Kérelmező

2019. április 12. napján kelt, a kamerafelvételek kiadására irányuló kérelmével kapcsolatos intézkedésekről;

## 5) utasítja a Kérelmezettet, hogy teljesítse a Kérelmező hozzáférési jog gyakorlására

irányuló kérelmét.

## II. A Hatóság határozatában megállapítja, hogy a hivatalból vizsgált kamerákkal kapcsolatos

adatkezelés vonatkozásában a Kérelmezett megsértette az elszámoltathatóság alapelvét. III. A Hatóság határozatában a kérelem adatvédelmi bírság kiszabására vonatkozó részét elutasítja, ugyanakkor a Kérelmezettet hivatalból

2 000 000 Ft, azaz kettőmillió forint adatvédelmi bírság megfizetésére kötelezi.

IV. A Hatóság

## VÉGZÉSÉBEN megszünteti az adatvédelmi hatósági eljárást a Kérelem azon részében, amely szerint a Hatóság

keresse meg Budapest VII. kerületi Rendőrkapitányságát a Kérelmező feljelentéséről felvett jegyzőkönyvével kapcsolatban, amely kifejezetten tartalmazta a bizonyítási indítványát, arra vonatkozóan, hogy a rendőrkapitányság kérje be a Kérelmezettől a kért kamerafelvételeket.

* * * Az I. 5) pontban előírt intézkedés megtételét a Kérelmezettnek az intézkedés megtételétől számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2020/200. BÍRS. számra kell hivatkozni. Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. Az I. 5) pontban előírt kötelezettség, illetve az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat végrehajtását. Jelen döntés I., II. és III. pontja szerinti határozattal és a jelen döntés IV. pontja szerinti végzéssel szemben közigazgatási úton jogorvoslatnak nincs helye, de azok a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel önállóan, külön-külön közigazgatási perben megtámadhatók. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## INDOKOLÁS

## I. Az eljárás menete és a tényállás tisztázása

I. 1. A Kérelmező kérelemmel fordult a Hatósághoz, mely szerint a Kérelmezett által üzemeltetett […] elnevezésű bárban a bár biztonsági őrei megtámadták és könnyű testi sértést követtek el ellene. A Kérelmező, mivel álláspontja szerint ezt az esetet rögzítették a bár épületén található, és a Kérelmezett által üzemeltetett – egyébként a Kérelmező álláspontja szerint jogszerűtlenül, közterületet is figyelő kamerák, feljelentést tett, melyben Budapest VII. kerületi Rendőrkapitányságának jelezte, hogy kérje be e kamerák által rögzített felvételeket, és egyúttal kérte a kamerafelvételek zárolását is a rendőrség további intézkedéséig. A Kérelmező ezen esettel összefüggésben a Kérelmezett által üzemeltetett és a Kérelmező álláspontja szerint közterületet jogszerűtlenül figyelő kamerákat és az azokról szóló tájékoztatás hiányát kifogásolta. A Kérelmező továbbá azt kifogásolta, hogy a 2018. november 7. napján kelt, e kamerák által rögzített felvételek zárolására, majd a 2019. március 1. napján kelt, zárolási kérelmével kapcsolatos tájékoztatás kérésére és személyes adataihoz való hozzáférésre irányuló kérelmére, valamint a 2019. április 12. napján kelt, hozzáférési, adatkezelés-korlátozási és felvételkiadási kérelmére nem kapott érdemi választ a Kérelmezettől, csupán 2019. április 23. napján azt a tájékoztatást, hogy mivel sem a Kérelmezőtől, sem a rendőrségtől nem érkezett semmilyen megkeresés, ezért a Kérelmezett törölte a korábban zárolt felvételeket. A Kérelmező kérelmében kérte a Hatóságot, hogy folytasson le adatvédelmi hatósági eljárást, amelyben hozott döntésében állapítsa meg a Kérelmezett érintetti jogokkal kapcsolatos mulasztását, bírság kiszabása mellett, továbbá, hogy a Hatóság keresse meg Budapest VII. kerületi Rendőrkapitányságát a Kérelmező feljelentéséről felvett jegyzőkönyvével kapcsolatban, amely kifejezetten tartalmazta a bizonyítási indítványát, arra vonatkozóan, hogy a rendőrség kérje be a Kérelmezettől a kért kamerafelvételeket, amely indítványának a rendőrség azonban nem tett eleget. I. 2. A Hatóság az adatvédelmi hatósági eljárás megindításáról végzésében értesítette a Kérelmezettet, és a tényállás tisztázása érdekében nyilatkozattételre és adatközlésre hívta fel. A Kérelmezett nyilatkozata szerint nem üzemeltet és nem is üzemeltetett közterületet figyelő kamerákat, hanem jogos érdeke alapján biztonsági szempontból – az irodaház, illetve a Kérelmezett vagyoni javainak megóvása, valamint a megfigyelt területen tartózkodó személyek testi épségének és vagyoni javainak megóvása érdekében – a bejáratokat figyelő kamerákat helyezett el, amelyek látóköréből kitakarásra kerültek a közterületeket érintő részek, míg a nem kitakart díszköves részek a Kérelmezett székhelyéhez tartozó magánterületek. Ezek alátámasztására a Kérelmezett mellékelte a bejáratokat figyelő kamerák fotóját, illetve az általuk rögzített pillanatképeket, a jogos érdek igazolására az elvégzett érdekmérlegelési tesztet, valamint az ingatlan helyszínrajzát és a tulajdoni lap másolatát. A Kérelmezett nyilatkozata szerint a kamerákról és a megfigyeléssel összefüggő adatkezelésről a bejáratoknál elhelyezett piktogramok, illetve a recepción a látogatók számára elérhető adatkezelési tájékoztató – melynek a vizsgált időszakban hatályos változatát a Kérelmezett megküldte a Hatóság részére – útján tájékoztatja az érintetteket. A Kérelmezett nyilatkozata szerint a kamerák karbantartásával és a kamerák kezelésével kapcsolatban szakcégeket bízott meg adatfeldolgozói szerződések megkötésével, mely szerződéseket szintén mellékelte a Hatóság részére. A Kérelmezett nyilatkozata szerint 2018. november 7. napján kapott megkeresést a Kérelmezőtől, melyben kérte az őt érintő kamerafelvételek zárolását, majd rendőrségi megkeresésre azok nyomozóhatóság részére történő kiadását. A Kérelmező levelében idézte az akkor alkalmazandó törvény, a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény (a továbbiakban: Szvtv.) 31. § (6) bekezdését is, mely szerint – az akkor hatályos szabályozás szerint – az, akinek jogát vagy jogos érdekét a kamerafelvétel érinti, jogának vagy jogos érdekének igazolásával kérheti, hogy az adatot, a kamerafelvételt annak kezelője ne semmisítse meg, illetve ne törölje. Valamely hatóság megkeresésére vagy adatkérésére a rögzített képfelvételt, a hatóságnak haladéktalanul meg kell küldeni, azonban hatósági megkeresés hiányában harminc nap elteltével a felvételeket törölni kell. A Kérelmezett még ugyanezen napon azt válaszolta a Kérelmezőnek, hogy konzultálni fog az adatvédelmi szakértőjével és jelentkezni fog, ugyanakkor javasolta a Kérelmezőnek azt is, hogy tegye meg a rendőrségi feljelentést, mert kamerafelvételt csak hivatalos rendőrségi megkeresésre a hatóságoknak adhat ki. A Kérelmezett e válaszlevéltől eltérően azonban a Kérelmező kérelme alapján – a Hatóságnak megküldött jegyzőkönyv szerint, bár a Kérelmezőt erről nem tájékoztatva – még szintén 2018. november 7. napján zárolta a felvételeket, és várta a Kérelmező által jelzett rendőrségi megkeresést. Tekintettel azonban arra, hogy ezt követően hónapokon keresztül sem a Kérelmező, sem a rendőrség nem jelentkezett a zárolt felvételek miatt, a Kérelmezett törölte azokat. Erről a tényről a Kérelmezett azonban külön szintén nem nyújtott tájékoztatást a Kérelmező részére, illetve az ő 2019. március 1. napján kelt, zárolási kérelmével kapcsolatos tájékoztatásra és személyes adataihoz való hozzáférési kérelmére, valamint a 2019. április 12. napján kelt, hozzáférési, adatkezelés-korlátozási és felvételkiadási kérelmére is – Kérelmezett által is elismerten késedelmesen – csupán 2019. április 23. napján nyújtott tájékoztatást arról, hogy, mivel sem a Kérelmezőtől, sem a rendőrségtől nem érkezett semmilyen megkeresés, ezért a Kérelmezett törölte a 2018. november 7. napján zárolt felvételeket az Szvtv. szabályainak megfelelően. A Kérelmezett kérte továbbá a Hatóságtól, hogy amennyiben az adatvédelmi hatósági eljárásban megállapításra kerül, hogy a Kérelmezett jogsértést követett el, és a Hatóság álláspontja szerint adatvédelmi bírság kiszabása indokolt, a Hatóság vegye figyelembe, hogy – azon kívül, hogy nem üzemeltet és nem is üzemeltetett közterületet figyelő kamerákat – a Kérelmező által kért kamerafelvételek zárolását a Kérelmezett elvégezte, de a felvételeket az akkor hatályos Szvtv.-ben meghatározottak alapján harminc nap elteltével törölte, ezért a Kérelmező három és fél hónappal későbbi adatkezelés-korlátozási és felvétel kiadási kérelmére a Kérelmezett nem válaszolhatott mást, csak azt, hogy a felvételek törlésre kerültek. A Kérelmezett továbbá az adatkezelés során a legjobb tudása szerint a törvények betartására törekedett, és annak ellenére, hogy a Kérelmező tájékoztatása valóban nem volt minden szempontból megfelelő, a Kérelmezett – megakadályozandó a hasonló esetek jövőbeli megismétlődését – az érintetti jogok gyakorlásához kapcsolódó munkautasításokat felülvizsgálta, azokat kiegészítette és a munkatársak ismételt oktatását elvégezte. A Kérelmezett adatvédelmi bírság esetleges kiszabása körében kérte figyelembe venni azt is, hogy vele szemben sem az érintetti jogok gyakorlásához kapcsolódóan, sem más adatvédelmi tárgyú ügyben ezt megelőzően nem indult hatósági eljárás, illetve hogy eddig is, és ezt követően is mindenben együttműködik a Hatósággal a tényállás tisztázása érdekében.

## II. Alkalmazott jogszabályi rendelkezések

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság erre irányuló kérelemre adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az Infotv. 60. § (2) bekezdése alapján: „Az adatvédelmi hatósági eljárás megindítása iránti kérelem az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában meghatározott esetben nyújtható be.”

Az általános adatvédelmi rendelet 77. cikk (1) bekezdése értelmében: „Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.” Az általános adatvédelmi rendelet 5. cikk (1) bekezdése szerint: „A személyes adatok: a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”); e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”); f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).” Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján: „Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).” Az általános adatvédelmi rendelet 12. cikk (1)-(6) bekezdései értelmében: „(1) Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (2) Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2) bekezdésében említett esetekben az adatkezelő az érintett 15–22. cikk szerinti jogai gyakorlására irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. (3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával (5) A 13. és 14. cikk szerinti információkat és a 15–22. és 34. cikk szerinti tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre: a) észszerű összegű díjat számíthat fel, vagy b) megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. (6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.” Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése szerint: „(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét: a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. (2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja: a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról; e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.” Az általános adatvédelmi rendelet 15. cikke alapján: „(1) Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon: a) az adatkezelés céljai; b) az érintett személyes adatok kategóriái; c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen; f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga; g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ; h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár. (2) Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a 46. cikk szerinti megfelelő garanciákról. (3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. (4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.” Az általános adatvédelmi rendelet 18. cikke értelmében: „(1) Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül: a) az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát; b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását; c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy d) az érintett a 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben. (2) Ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni. (3) Az adatkezelő az érintettet, akinek a kérésére az (1) bekezdés alapján korlátozták az adatkezelést, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.” Az általános adatvédelmi rendelet 23. cikk (1) bekezdése szerint: „Az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban: a) nemzetbiztonság; b) honvédelem; c) közbiztonság; d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot; f) a bírói függetlenség és a bírósági eljárások védelme; g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása; h) az a)–e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység; i) az érintett védelme vagy mások jogainak és szabadságainak védelme; j) polgári jogi követelések érvényesítése.” Az Szvtv. 31. § (6) bekezdése alapján: „Az, akinek jogát vagy jogos érdekét a kép-, hang-, vagy a kép- és hangfelvétel, illetve más személyes adatának rögzítése érinti, a (2), a (3), illetve a (4) bekezdésben foglaltaknak megfelelően a kép-, hang-, valamint kép- és hangfelvétel, illetve más személyes adat rögzítésétől számított három munkanapon, harminc, illetve hatvan napon belül jogának vagy jogos érdekének igazolásával kérheti, hogy az adatot annak kezelője ne semmisítse meg, illetve ne törölje. Bíróság, ügyészség, nyomozó hatóság, előkészítő eljárást folytató szerv vagy más hatóság megkeresésére vagy adatkérésére a rögzített kép-, hang-, valamint kép- és hangfelvételt, valamint más személyes adatot a bíróságnak vagy a hatóságnak haladéktalanul meg kell küldeni. Amennyiben megkeresésre vagy adatkérésre attól számított harminc napon belül, hogy a megsemmisítés mellőzését kérték, nem kerül sor, a rögzített kép-, hang-, valamint kép- és hangfelvételt, valamint más személyes adatot meg kell semmisíteni, illetve törölni kell, kivéve, ha a (3) vagy a (4) bekezdésben foglalt határidő még nem járt le.”1 Az általános adatvédelmi rendelet 58. cikk (2) bekezdése értelmében: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit; c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét; d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel; e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről; f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is; g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2) bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel vagy amelyekkel a személyes adatokat közölték;

1 Az Szvtv. 2018. július 1 – 2019. április 25. között hatályos normaszövege alapján.

h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek; i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás felfüggesztését.” Az általános adatvédelmi rendelet 83. cikk (2) és (5) bekezdése szerint: „[…] (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket: a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. […] (5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni: a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12–22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44–49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.” Az Infotv. 75/A. § alapján: „a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.”

## III. Döntés

III. 1. A Kérelmező adatkezelés korlátozásához való joga Az általános adatvédelmi rendelet 18. cikk (1) bekezdés c) pontja szerint az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez. Az adatkezelés korlátozására vonatkozó információk megadásának módjával kapcsolatban az adatkezelői kötelezettségeket az általános adatvédelmi rendelet 12. cikke részletezi. Az általános adatvédelmi rendelet 23. cikk (1) bekezdése határozza meg továbbá azon speciális eseteket, melyek fennállása esetén korlátozhatóak az érintetti jogok, így az adatkezelés korlátozásához való jog. Az általános adatvédelmi rendelet 18. cikk (3) bekezdése alapján továbbá az adatkezelő az érintettet, akinek a kérésére korlátozták az adatkezelést, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja. Jelen ügyben a Kérelmező 2018. november 7. napján az akkor hatályos Szvtv. 31. § (6) bekezdésére hivatkozva fordult a Kérelmezetthez – tekintettel arra, hogy jogi eljárást kezdeményezett – kérve azt, hogy „a nyomozó hatóság további intézkedéséig a bár bejáratát és az utcarészre irányuló valamennyi kamera felvételét szíveskedjenek megőrizni, majd a felhívásra változatlan formában kiadni a mellékelt 5. és 6. képen látható kamerák felvételeit, amelyek a belépési pontot rögzítik.” A Kérelmezett még aznap, 2018. november 7. napján eleget tett a Kérelmező kérelmének és korlátozta az adatkezelést akként, hogy zárolta a Kérelmező által meghatározott felvételeket annak érdekében, hogy a hatáskörrel és illetékességgel rendelkező hatóság részére átadja azokat. A Kérelmezett erről azonban nem tájékoztatta a Kérelmezőt, csak a tényállás tisztázása során közölte a Hatósággal a korlátozásról készült jegyzőkönyv megküldésével alátámasztva. Ezt követően, szintén a Hatóságnak tett nyilatkozat és a megküldött adatmegsemmisítési jegyzőkönyv alapján állapítható meg, hogy a Kérelmezett 2018. december 10. napján semmisítette meg a 2018. november 7. napján zárolt felvételeket. Erről azonban a Kérelmezett szintén nem tájékoztatta a Kérelmezőt. A Kérelmező ezt követően többször fordult – a zárolással kapcsolatban tájékoztatáskérés iránti, hozzáférési joga iránti, majd a felvételek másolatának kiadása iránti kérelemmel – e-mailben a Kérelmezett felé, amely azonban csak 2019. április 23. napján tájékoztatta a Kérelmezőt arról, hogy, mivel sem tőle, sem a nyomozóhatóságtól nem érkezett semmilyen megkeresés, ezért a Kérelmezett 2018. december 10. napján törölte a 2018. november 7. napján zárolt felvételeket. A Kérelmezett a felvételek törlésének indokaként az akkor hatályos Szvtv. 31. § (6) bekezdésére hivatkozott, mely rendelkezés alapján a jogalkotó alapvetően annak lehetőségét biztosította az érintett számára, hogy joga vagy jogos érdekének igazolásával a felvételek zárolását kérje. Ekkor az adatkezelőnek a felvételt zárolnia kellett, majd amennyiben bíróság vagy valamely hatóság az eljárása során a felvételt igényelte, akkor azt meg kellett küldeni. Amennyiben a bíróság vagy a hatóság harminc napon belül a felvételeket nem kérte ki, akkor az adatkezelőnek a felvételt meg kellett semmisítenie, ezért célszerű volt a bírósági, illetve a hatósági eljárás megindításakor kifejezetten utalni erre a speciális körülményre, és felhívni az eljáró bíróság vagy hatóság figyelmét arra, hogy a felvételt e határidőn belül kérje ki. Ha a bíróság vagy a hatóság nem kereste meg az adatkezelőt a felvétel kiadása érdekében, akkor a felvételeket törölni kellett. Az Szvtv. ezen rendelkezésére tekintettel tehát a Kérelmezett törölte a felvételeket a zárolást követő harminc nap elteltével, mivel a rendőrségtől és a Kérelmezőtől sem érkezett megkeresés. Ezen 2018. novemberi és decemberi időszakban azonban már alkalmazandó volt az általános adatvédelmi rendelet – 2018. május 25. napjától. Ugyanakkor a 2019. évre maradt számos (szektorális) adatvédelmi előírást tartalmazó jogszabály, mint például az Szvtv. általános adatvédelmi rendelethez való „igazítása”, amelynek változásai csak 2019. április 26. napján léptek hatályba. Ezen időszakig azonban az Szvtv. szabályait az általános adatvédelmi rendeletre tekintettel kellett értelmezni. Ebből kifolyólag az Szvtv. 31. § (6) bekezdése bár előírta azt, hogy amennyiben bíróság vagy a hatóság harminc napon belül a felvételeket nem kérte ki, akkor az adatkezelő semmisítse meg a zárolt felvételeket, az általános adatvédelmi rendelet adatkezelés korlátozásához való jog gyakorlására vonatkozó rendelkezései nem támasztanak ilyen feltételt, ebből pedig az következik, hogy a jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges időtartamig, például az adott jogi eljárás végéig zároltan kell tárolni a felvételeket, azokat nem lehet törölni. Az általános adatvédelmi rendelet előírásai a magyar jogalanyokra 2018. május 25. napjától közvetlenül alkalmazandók, kivéve azokat, amelyek teljes körű alkalmazásához, végrehajtásához az egyes tagállamok nemzeti jogszabályaiban előírt további rendelkezések szükségesek. Emellett az általános adatvédelmi rendelet bizonyos – korlátozott – körben lehetőséget ad a tagállamoknak kiegészítő vagy ahhoz képest meghatározott irányban eltérő szabályok megalkotására, azonban az érintetti jogok gyakorlása nem tartozott ebbe a körbe, a tagállamok, így Magyarország sem kapott arra felhatalmazást, hogy az érintetti jogok gyakorlását korlátozza, ezért az Szvtv. 31. § (6) bekezdését nem lehetett alkalmazni, ha az érintett kérte az adatkezelőtől a kamerafelvételek törlésének, megsemmisítésének mellőzését. Ebből következően a Hatóság megállapítja, hogy a Kérelmezett az általános adatvédelmi rendelet szabályaival ellentétesen törölte a Kérelmező által kért, és a Kérelmezett által zárolt kamerafelvételeket a Kérelmező zárolásra irányuló kérelmét követő harminc nap elteltét követően. A Hatóság ebből adódóan megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 18. cikk (1) bekezdés c) pontját. Tekintettel továbbá arra, hogy a Kérelmezett nem nyújtott határidőben megfelelő és átlátható tájékoztatást a Kérelmező által benyújtott érintetti joga gyakorlására irányuló kérelme alapján megtett intézkedésekről, azaz sem arról, hogy zárolta a Kérelmező által kért felvételeket, sem előzetesen arról, hogy az adatkezelés korlátozását feloldja és a felvételeket törölni fogja – mellyel nemhogy nem segítette elő az érintett általános adatvédelmi rendelet 15-22. cikk szerinti jogainak gyakorlását, hanem kifejezetten akadályozta azt a felvételek törlésével –, a Hatóság megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 12. cikk (1)-(4) bekezdését, illetve a 18. cikk (3) bekezdését. III. 2. A Kérelmező hozzáférési joga III. 2. 1. Az általános adatvédelmi rendelet 15. cikk (1) bekezdése szerinti hozzáférési jog alapján az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adataihoz és az adatkezelésre vonatkozó információkhoz hozzáférést kapjon. Az adatkezelésre vonatkozó információk megadásának módjával kapcsolatban az adatkezelői kötelezettségeket – hasonlóan az adatkezelés korlátozásához való joghoz – az általános adatvédelmi rendelet 12. cikke részletezi. Az általános adatvédelmi rendelet 23. cikke határozza meg továbbá azon speciális eseteket, melyek fennállása esetén korlátozhatóak az érintetti jogok, így a hozzáféréshez való jog. Jelen ügyben a Kérelmező 2019. március 1. napján elektronikus levélben az általános adatvédelmi rendelet 15. cikkére hivatkozva tájékoztatást kért a Kérelmezettől arra vonatkozóan, hogy rá nézve milyen személyes adatokat kezel, illetve ezen személyes adatokat kinek és mikor továbbította a Kérelmezett. A Kérelmező továbbá a korábban, 2018. november 8. napján kért, az általános adatvédelmi rendelet 18. cikke szerinti korlátozás, azaz a felvételek zárolásával kapcsolatos kérelmével kapcsolatban kért tájékoztatást és kérte a zárolás további fenntartását is, tekintettel arra is, hogy a 2018. november 7-i, Kérelmezettel folyatott levelezését követően erről nem kapott tájékoztatást. A Kérelmezett azonban a Kérelmező ezen elektronikus levelére sem válaszolt, arra hivatkozva, hogy e levele valahogyan elkeveredett, csupán a 2019. április 23. napján küldött elektronikus levelében tájékoztatta őt arról, hogy mivel sem tőle, sem a nyomozóhatóságtól nem érkezett semmilyen megkeresés, ezért a Kérelmezett törölte a 2018. november 7. napján zárolt felvételeket. A Kérelmező hozzáférési joga gyakorlására irányuló kérelmére azonban a Kérelmezett semmit nem válaszolt, nem tájékoztatta a Kérelmezőt az intézkedés elmaradásának okairól, valamint arról, hogy panaszt nyújthat be a Hatóságnál, és élhet bírósági jogorvoslati jogával. Mindebből következően a Hatóság megállapítja, hogy a Kérelmezett nem tett eleget a Kérelmező hozzáférési kérelmének, megsértve ezzel az általános adatvédelmi rendelet 15. cikkét, illetve szintén megsértve az általános adatvédelmi rendelet 12. cikk (4) bekezdését. III. 2. 2. A hozzáférési jog magában foglalja a másolat kiadásához, kamerafelvételek esetében a felvételek másolatának kiadásához való jogot is. Az általános adatvédelmi rendelet 15. cikk (3) bekezdése szerint az első alkalommal igényelt másolatot az adatkezelőnek ingyenesen kell az érintett rendelkezésére bocsátania, és csak a további esetekben számolhat fel a másolat kiadásáért díjat. Az általános adatvédelmi rendelet 15. cikk (4) bekezdéséből és a (63) preambulumbekezdéséből is következően a hozzáférési jog azonban nem korlátlan, nem érintheti hátrányosan mások jogait és szabadságait, ebből kifolyólag az érintett a felvételeknek kizárólag az őt ábrázoló részeihez férhet hozzá, és azokról a többi résztvevőt az adatkezelőnek ki kell takarnia. Ezen túlmenően a másolat kiadásához való jog teljesítése során az adatkezelőnek az intézkedések megtétele, illetve az arról való tájékoztatás megadása során is be kell tartania az általános adatvédelmi rendelet 12. cikke által előírt követelményeket. A Kérelmező 2019. április 12. napján kelt elektronikus levelében kérte, hogy az általa kért és Kérelmezett által zárolt felvételeket a Kérelmezett adja ki részére. A Kérelmezett ezen levélre a 2019. április 23. napján küldött levelével határidőben válaszolva azt a tájékoztatást nyújtotta, hogy mivel sem a Kérelmezőtől, sem a nyomozóhatóságtól nem érkezett semmilyen megkeresés, ezért a Kérelmezett törölte a 2018. november 7. napján zárolt felvételeket. A Kérelmezett ezen válasza kapcsán a Hatóság visszautal a jelen határozat III. 2. 1. pontjában kifejtettekre, melyek szerint a Kérelmezettnek az ezen, 2019. április 23. napján küldött válasza sértette az általános adatvédelmi rendelet 12. cikk (4) bekezdését, mivel nem tájékoztatta a Kérelmezőt az intézkedés elmaradásának okairól, valamint arról, hogy panaszt nyújthat be a Hatóságnál, és élhet bírósági jogorvoslati jogával. A Kérelmezett továbbá a 2018. november 7-i levelében sem adott megfelelő tájékoztatást a Kérelmezőnek az érintetti jogainak gyakorlásáról, mivel azt válaszolta neki, hogy kamerafelvételt csak hivatalos rendőrségi megkeresésre a hatóságoknak adhat ki. A 2018. novemberi és decemberi időszakban hatályos Szvtv. alapján valóban csak a hatóságok részére lehetett megküldeni a kamerafelvételeket, azonban 2018. május 25. napjától az általános adatvédelmi rendelet 15. cikk (3) bekezdése alapján az adatkezelők már kötelesek az érintett számára is kiadni a kért felvételeket mások jogainak sérelme nélkül. A Kérelmezett adatkezelési tájékoztatója is azt tartalmazza, hogy „az Érintett vagy Bíróság vagy más Hatóság megkeresésére a rögzített felvételt az Érintettnek, bíróságnak vagy a hatóságnak haladéktalanul meg kell küldeni.” Mindebből következően a Hatóság megállapítja, hogy a Kérelmezett a felvételek kiadásáról sem nyújtott megfelelő és átlátható tájékoztatást, mivel 2018 novemberében sem csak a rendőrség vagy hatóság részére lehetett a kamerafelvételeket kiadni, hanem az érintettnek is. A Kérelmezett által nyújtott tájékoztatás tehát nem felelt meg az általános adatvédelmi rendeletben foglaltaknak, de nem volt összhangban a saját adatkezelési tájékoztatójában írtakkal sem. Mindebből következően a Hatóság megállapítja, hogy a Kérelmezett ebben a vonatkozásban is megsértette az általános adatvédelmi rendelet 12. cikk (1)-(2) bekezdését. III. 3. A korlátozással érintett felvételek kiadása A Kérelmező 2019. április 12. napján kelt elektronikus levelében kérte, hogy az általa kért és Kérelmezett által zárolt felvételeket a Kérelmezett adja ki részére. A Kérelmezett azonban – ahogy a Kérelmező további érintetti joggyakorlásra irányuló kérelmeire sem – ezen levélre sem válaszolt, csupán a 2019. április 23. napján küldött levelével, mely szerint, mivel sem a Kérelmezőtől, sem a nyomozóhatóságtól nem érkezett semmilyen megkeresés, ezért a Kérelmezett törölte a 2018. november 7. napján zárolt felvételeket. A Hatóság mindezzel kapcsolatban megjegyzi, hogy az általános adatvédelmi rendelet szerint az érintettet a másolat kiadásához való jog illeti meg – amint a III. 2. 2. pont ezt kifejti –, nem pedig az, hogy az eredeti felvételeket kapja meg. Ebben a vonatkozásban a Kérelmező kérelme nem egyértelmű, ugyanakkor tekintettel arra, hogy a Kérelmezett a Kérelmező ezen kérelmére vonatkozóan sem válaszolt, és nem nyújtott semmilyen tájékoztatást a kérelem alapján megtett intézkedésekről, a Hatóság megállapítja, hogy a Kérelmezett megsértette az általános adatvédelmi rendelet 12. cikk (1)-(4) bekezdésében foglaltakat III. 4. A rendőrség megkeresésére irányuló kérelem elutasítása A Kérelmező kérelmében kérte a Hatóságot, hogy keresse meg Budapest VII. kerületi Rendőrkapitányságát a Kérelmező feljelentéséről felvett jegyzőkönyvével kapcsolatban, amely kifejezetten tartalmazta arra irányuló bizonyítási indítványát, hogy a rendőrség kérje be a Kérelmezettől a Kérelmező által kért kamerafelvételeket, amely indítványának a rendőrség azonban nem tett eleget. Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése.

Az Infotv. 38. § (3) bekezdése sorolja fel továbbá azon feladatokat, amelyeket a Hatóság hatáskörében eljárva elláthat. Ezek között azonban nem szerepel olyan feladat, amely alapján a Hatóság más hatóságot, jelen esetben Budapest VII. kerületi Rendőrkapitányságát keresse meg abból a célból, hogy a rendőrség saját bizonyítási eljárásába lépjen be közreműködőként, mintegy utasítva, hogy a rendőrség milyen bizonyítási eszközök felhasználása alapján állapítsa meg a tényállást. A Hatóság az Ákr. 25. §-a alapján más szervet vagy személyt akkor kereshet meg a saját eljárása keretében, ha az adott ügyben a Hatóság illetékességi területén kívül kell eljárási cselekményt végezni, vagy az eljárás során szükséges adattal vagy irattal más rendelkezik. Ez alapján tehát a Hatóság akkor élhet megkereséssel más szerv vagy hatóság felé, ha a saját eljárása során szükséges a tényállás tisztázása érdekében a saját illetékességi területén kívül más hatóság illetékességi területén eljárási cselekményt végeznie, vagy a szükséges adattal, irattal más hatóság rendelkezik. Tekintettel tehát arra, hogy a Hatóság hatáskörébe nem tartozik bele az, hogy a megkeresse a nyomozóhatóságot amiatt, hogy az kérje be a Kérelmezettől a Kérelmező által meghatározott kamerafelvételeket, a Kérelmező kérelmének ezen része nem felelt meg az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint az Infotv. 60. § (2) bekezdésében foglalt követelményeknek, így ebben a vonatkozásban a Hatóság adatvédelmi hatósági eljárása sem kezdeményezhető, ezért az Ákr. 47. § (1) bekezdés a) pontja alapján a Hatóság az eljárást ezen kérelem tekintetében megszüntette. A Hatóság megjegyzi továbbá, hogy a Kérelmezett nyilatkozata és általa becsatolt megsemmisítési jegyzőkönyv alapján a felvételek már törlésre kerültek, így a nyomozóhatóság ebből következően nem is tudja bekérni a Kérelmező által kért felvételeket. III. 5. Közterületet figyelő kamerák A Kérelmező az érintetti jogaival kapcsolatos kifogásai mellett a Kérelmezett által üzemeltetett és a Kérelmező álláspontja szerint közterületet jogszerűtlenül figyelő kamerákat és az azokról szóló tájékoztatás hiányát kifogásolta. A Hatóság a Kérelmező érintetti jogai gyakorlására irányuló kérelmei teljesítésének vizsgálata mellett a Hatóság a Kérelmezett ezen kamerákkal kapcsolatos általános adatkezelési gyakorlatára hivatalból kiterjesztette az adatvédelmi hatósági eljárást a közterület megfigyelése és a tájékoztatás vonatkozásában. A Kérelmezett nyilatkozatai és az általa beküldött okiratok alapján a Kérelmezett nem üzemeltet közterületet figyelő kamerákat, hanem jogos érdeke alapján biztonsági szempontból – az irodaház, illetve a Kérelmezett vagyoni javainak megóvása, valamint a megfigyelt területen tartózkodó személyek testi épségének és vagyoni javainak megóvása érdekében – a bejáratokat és az előttük lévő magánterületet figyelő kamerákat helyezett el, amelyek látóköréből kitakarásra kerültek a közterületeket érintő részek, míg a nem kitakart díszköves részek a Kérelmezett székhelyéhez tartozó magánterületek. Ezek alátámasztására a Kérelmezett mellékelte a bejáratokat figyelő kamerák fotóját, illetve az általuk rögzített pillanatképeket, a jogos érdek igazolására az elvégzett érdekmérlegelési tesztet, valamint az ingatlan helyszínrajzát és a tulajdoni lap másolatát. A nyilatkozat szerint továbbá a Kérelmezett a kamerákról és a megfigyeléssel összefüggő adatkezelésről a bejáratoknál elhelyezett piktogramok, illetve a recepción a látogatók számára elérhető adatkezelési tájékoztató útján tájékoztatja az érintetteket. Az adatkezelési tájékoztatót a Kérelmezett szintén megküldte a Hatóság részére, melynek áttekintése során a Hatóság megállapította, hogy az tartalmazta az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése szerinti információkat. Mindezzel kapcsolatban a Hatóság azonban hangsúlyozza, hogy tekintettel arra, hogy a beküldött iratokon – az érdekmérlegelési tesztet és az adatfeldolgozói szerződéseket kivéve – nem szerepel dátum, így nem igazolt, hogy mikortól hatályos a Kérelmezett által bemutatott kamerás megfigyelés és az arról szóló tájékoztatás. Az általános adatvédelmi rendelet 5. cikk (2) bekezdés szerinti, lényegében az adatkezelő objektív felelősségét és fokozott gondossági követelményét megfogalmazó elszámoltathatóság alapelvi követelményéből fakadóan a Kérelmezettnek mint adatkezelőnek a kötelezettsége annak igazolása, hogy az adatkezelés jogszerűségének feltételei – az adatkezelés megkezdésétől – folyamatosan fennállnak. Az adatkezelő csak akkor bízhat alappal abban, hogy minden tekintetben megfelel az adatkezelés jogi követelményeinek, ha ezen igazolási kötelezettségének eleget is tud tenni, és a Hatóság, eljáró bíróság, illetve az érintett számára is tételesen, kellő bizonyosságot nyújtó módon be tudja mutatni e feltételek fennálltát. A Hatóság a tényállás tisztázása során arra vonatkozóan nyilatkoztatta a Kérelmezettet, hogy milyen módon tájékoztatta a Kérelmezőt és az érintetteket a kamerákról történő megfigyelésről és annak részleteiről. A Kérelmezett azonban a nyilatkozattételének időpontja szerinti állapotról adott tájékoztatást, arról nem, hogy a Kérelmezőt milyen módon tájékoztatta a vizsgált időszakban, vagyis akkor, amikor a Kérelmezett által üzemeltetett […] elnevezésű bárban a bár biztonsági őrei megtámadták és könnyű testi sértést követtek el ellene. Emiatt a dátum nélküli adatkezelési tájékoztatóval a Kérelmezett nem igazolta a tájékoztató készítésének dátumát, ezáltal nem igazolta azt sem, hogy mikortól ad megfelelő tájékoztatást, így nem bizonyított, hogy a vizsgált időszakban az adatkezelés, illetve a tájékoztatás megfelelt volna a jogszerű adatkezelés követelményeinek. Ennek hiányában a jogszerűség igazolása legkorábban a Hatóság NAIH/2019/3910/5. ügyiratszámú tényállás tisztázó végzése átvételének időpontjában, 2019. december 16. napján fogadható el. A Hatóságnak megküldött érdekmérlegelési teszt keltezése 2018. május 21., míg az adatfeldolgozó szerződések keltezése 2019. április 29. Ezekből ugyanakkor a Hatóság álláspontja szerint nem következik az, hogy az adatkezelés egésze, illetve az arról nyújtott tájékoztatás megfelelt volna a jogszerű adatkezelés követelményeinek a Kérelmező által kifogásolt adatkezelés időpontjában, illetve a Hatóság adatvédelmi hatósági eljárásának megindulása előtt. Mindezek alapján a Hatóság megállapítja, hogy mivel a Kérelmezett nem tudta bizonyítani, hogy a Kérelmező által kifogásolt kamerás megfigyeléssel összefüggő adatkezelése a vizsgált időszakban megfelelt volna az adatvédelmi követelményeknek, ebből következően nem tett eleget az elszámoltathatóság alapelvi követelményének, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (2) bekezdését. III. 6. Szankcionálás A Hatóság elutasította a Kérelmezőnek a bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján, illetve – mivel az Ákr. 35. § (1) bekezdésének nem felel meg, e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető. A Hatóság mindazonáltal hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében a figyelmeztetés se nem arányos, se nem visszatartó erejű szankció, ezért bírság kiszabása szükséges. A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a Kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek. A Hatóság a bírság összegének meghatározása során súlyosbító körülményként vette figyelembe, hogy a Kérelmezett több alkalommal nem nyújtott átlátható tájékoztatást a Kérelmezőnek az érintetti jogai gyakorlására irányuló kérelmei nyomán tett intézkedésekről. [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) és k) pont].

a Kérelmezettnek mint adatkezelőnek az adatkezelésért viselt objektív felelősségéhez igazodó gondos adatkezelésből fakadó kötelezettségei mellőzésével az elszámoltathatóság elvét sértve valósította meg a Kérelmező által kifogásolt elektronikus megfigyeléssel összefüggő adatkezelését. [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont] A Hatóság enyhítő körülményként vette figyelembe, hogy a Kérelmezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont];

a vizsgált időszakban az Szvtv. releváns szabályai még hatályosak voltak, azonban nem voltak összhangban az általános adatvédelmi rendelettel, ahogyan azt a Hatóság a III. 1. pontban kifejtette, és emiatt a korlátozáshoz való jog megsértése miatt a Hatóság nem szab ki bírságot [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. A Hatóság enyhítő körülményként vette figyelembe, hogy az Szvtv. releváns szabályai még hatályosak voltak, azonban nem voltak összhangban az általános adatvédelmi rendelettel, és ez félrevezette a Kérelmezettet a Kérelmező adatkezelés korlátozása iránti kérelmének teljesítése során [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont]. A Hatóság a bírságkiszabás megállapítása során nem tartotta relevánsnak az általános adatvédelmi rendelet 83. cikk (2) bekezdés b) c), d), f), g) h), i), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem értelmezhetők. A Kérelmezett 2018. évi nettó árbevétele több, mint 700 millió forint volt, így a kiszabott adatvédelmi bírság a kiszabható bírság maximumához képest távoli.

## IV. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1)

bekezdés és (3) bekezdés d) pontja, illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak.

* * * Az Ákr. 135. §-a szerint a kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése szerint a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2020. március 19. Dr. Péterfalvi Attila elnök c. egyetemi tanár