Орган по защите данных Венгрии: обработка персональных данных в подписных листах на местных выборах 2019 года

………………………………………………………………………………………………………………………………………………………………………. 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Iktatószám: Előzmény:

NAIH/2020/4208/2 NAIH/2019/6802.

Tárgy: hatósági ellenőrzés lezárása

VÉGZÉS A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) értesíti, hogy a 2019. évi helyi önkormányzati választásokkal kapcsolatban végzett ajánlásgyűjtést követően az ajánlóíveken szereplő személyes adatok kezelése, ezen belül az adatkezelő(k) személyének megállapítása tárgyában 2019. október 7. napján megindított adatvédelmi hatósági ellenőrzést a mai nappal lezárja.

A jelen végzéssel szemben nincs helye jogorvoslatnak.

INDOKOLÁS I. Tényállás A Hatóság közérdekű bejelentésből értesült arról, hogy felmerült annak gyanúja, hogy a 2019. évi helyi önkormányzati választásokkal összefüggésben […], a […] jelölő szervezetek Budapest […] kerület […] számú egyéni választókerületi közös jelöltjének indulásához szükséges ajánlásgyűjtés során a személyes adatokat jogosulatlanul kezelték. A Hatóság a választási eljárás jogszerűségére, valamint a nagyszámú érintettek személyes adatainak védelmére tekintettel indokoltnak látta, hogy hivatalból hatósági ellenőrzést indítson az adatkezelő által a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendeletben (a továbbiakban: általános adatvédelmi rendelet) foglalt követelmények betartásának ellenőrzése érdekében. Ennek során elsődlegesen az adatkezelők személyének a tisztázása vált szükségessé. Az ellenőrzés keretében a Hatóság az alábbiakat vizsgálta: - Milyen szerepet töltöttek be a pártok […] jelölt ajánlásainak gyűjtése során?

- Az ajánlásgyűjtés során és azt követően kik fértek hozzá az ajánlóívekhez, az azokon szereplő személyes adatokat kik ismerhették meg? Milyen feladatuk volt az aktivistáknak az ajánlásgyűjtés folyamatában?

- Milyen iránymutatást, utasítást, információt adtak az ajánlásgyűjtéssel kapcsolatban az aktivistáiknak? Készült-e írásbeli dokumentum – szerződés, szabályzat, megállapodás, ellátandó feladatok leírása, összefoglalása –, amelyben rendelkeztek az aktivisták által ellátandó feladatokról, tevékenységekről, felelősségükről?

- Álláspontjuk szerint mely személy(ek)/szerv(ek) tekintendő(ek) adatkezelőnek?

A Hatóság a hatósági ellenőrzés keretében az adatkezelő(k) személyének tisztázása érdekében megkereséssel fordult a vizsgált ajánlásgyűjtésben szerepet játszó […] pártokhoz. A Hatóság megkeresésére az alábbi válaszok érkeztek: 1. […] […] kerületi jelölt a […] tagja, bár a […] politikai támogatásával indult, az ajánlásgyűjtések során a […] sem adatkezelőként, sem adatfeldolgozóként nem járt el, azt a […] intézte, a […] aktivistái kizárólag a „saját” […] tag jelölteknek gyűjtötték az ajánlásokat a kampány során,[…]nak nem. A […] fizikailag soha nem került ezen ajánlóívek birtokába, adatkezelési műveletet nem hajtott végre azokon. 2. Az […] a […] kerületi jelöltállítás, illetve az ehhez szükséges ajánlásgyűjtés során a […]-val kötött választási együttműködési megállapodás alapján közös polgármesterjelölt, illetve közös képviselőjelöltek állítása érdekében jelölő szervezetként működött közre. Az […] aktivistái azonban […] képviselőjelölt ajánlásgyűjtésében semmilyen formában nem működtek közre, ők a kerületben kizárólag a kerület […] által is támogatott polgármesterjelöltjének gyűjtöttek ajánlást. Az […], mint jelölő szervezet az ajánlásgyűjtés végrehajtásával összefüggésben sem írásban, sem szóban nem adott utasítást, tekintettel arra, hogy az ajánlásgyűjtés törvényes keretei és korlátai az érintettek számára ismertek voltak, míg a helyi szinten eldönthető technikai és szervezési kérdésekre az adatkezelés természetére és a közös jelölésre tekintettel a párt önálló utasítást nem is adhatott ki.

Álláspontjuk szerint a jelöltállítási folyamatban kezelt személyes adatok tekintetében a jelöltet közösen állító pártok közös adatkezelők, hiszen az ajánlások összegyűjtése közös választási részvételüket szolgálja, amely együttes és közös döntésükön alapul. A megkereséssel érintett adatkezelés esetében az […] nevében eljáró személyek az adatkezelési műveletek elvégzésében sem működtek közre, így értelemszerűen nem is kerültek kapcsolatba az adatgyűjtésben érintett választópolgárokkal. 3. […] a […] választási összefogás önkormányzati képviselőjelöltje volt. […] a […] párt tagja. Az ajánlóívekhez az aláírásokat gyűjtő és az íveket formai szempontból átnéző aktivisták, valamint […] fért hozzá. Az aktivistáknak […] jelölési aláírásait kellett összegyűjteniük, az íveket formai szempontból ellenőrizniük, majd átadniuk […] részére. Az aktivisták azt az iránymutatást kapták, hogy a lakcímkártyát el kell kérniük, le kell kézzel másolniuk az ívre a vonatkozó adatokat, majd a kártyát vissza kell adni a tulajdonosának. Az íveket gondosan kell kezelni, annak tartalmát mással megismertetni nem lehet. Az íveket az összegyűjtést követően az aktivistáknak ismételten ellenőrizniük kellett, hogy a név, az aláírás és a személyi szám megfelelően rá lett-e írva. Az ajánlóíveket a választópolgárnak alá kellett írnia. Az ajánlóívek gyűjtésére az aktivisták […] polgármester-jelölttől kapták az írásbeli meghatalmazást.

Mivel választási együttműködés alapján indult a jelölt, a […] álláspontjuk szerint közös adatkezelőnek minősül, de ténylegesen az adatokat csak az aktivisták ismerhették meg.

4. […] […] kerületi ellenzéki képviselőjelölt, azóta megválasztott képviselő ajánlásainak gyűjtésében a […], mint párt szervezetileg nem vett részt. Az ajánlóívek felvételét, az ajánlásgyűjtés szervezését, koordinálását, majd az ajánlóívek leadását a képviselőjelölt kampánycsapata végezte. Ebben a folyamatban önkéntesként részt vehettek a […] szimpatizánsai is, de erről a pártnak részletes információja, kimutatása nincs, adataikról listával nem rendelkezik.

II . Al kal m azott j ogsza bál yi rendel kezések Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a hatósági ellenőrzéssel érintett adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni.

Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 99. §-a alapján a Hatóság – a hatáskörének keretei között – ellenőrzi a jogszabályban foglalt rendelkezések betartását. Az Ákr. 50. § (2) bekezdés c) pontja alapján az ügyintézési határidő hatvan nap, melybe az Ákr. 50. § (5) bekezdése és 103. § (3) bekezdése alapján nem számít be az eljárás felfüggesztésének időtartama. Az Ákr. 101. § (2) bekezdése alapján, ha a Hatóság az Ügyfél kérelmére lefolytatott hatósági ellenőrzés során jogsértést nem tapasztal, ennek tényéről hatósági bizonyítványt állít ki. A hivatalból folytatott hatósági ellenőrzés eredményéről a Hatóság az Ügyfél kérelmére állít ki hatósági bizonyítványt.

II I .

D öntés Az ellenőrzés során a Hatóság megkeresésére a politikai pártok, mint jelölő szervezetek egy része akként nyilatkozott, hogy a politikai pártok, mint a közös jelöltet indító jelölő szervezetek közös adatkezelőnek minősülnek, míg a politikai pártok másik része – nyilatkozatuk szerint – nem tekinti magát adatkezelőnek abban az esetben, ha az ajánlások gyűjtésében a párt közvetlenül nem vett részt. A Hatóság az ellenőrzés során megállapította, hogy az adatkezelésben betöltött szerepek nem tisztázottak, valamint nem is egyértelműek a választási folyamatban részt vevők számára. Az adatkezelés (ajánlásgyűjtés) során – a nyilatkozatok alapján – erről rendelkező, illetve ennek eldöntésében segítséget jelentő dokumentumok, szabályzatok nem készültek. A Hatóság ezzel kapcsolatban megjegyzi, hogy nem elfogadható az a helyzet, hogy egy adatkezelésért senki ne viselje a felelősséget, így – főként ha az adatkezelés során még jogsértések is felmerülnek – utólag kelljen tisztázni a folyamatban betöltött szerepeket. Valamennyi adatkezelés során elengedhetetlen követelmény, hogy annak legyen adatkezelője vagy több adatkezelője, illetve akár közös adatkezelés is előfordulhat. Ez a helyzet különösen olyan, az ország szempontjából kiemelt területen nem fogadható el, mint a választási adatkezelés. Mindazon szervezet, párt, természetes személy tehát, mely az adatkezeléssel kapcsolatban valamely döntést, részdöntést hozott, adatkezelőnek tekintendő. Amennyiben a párt csak az adatkezelés célját határozta meg, és ennek elérése érdekében együttműködött másokkal, ahhoz a nevét adta, már önmagában ennélfogva adatkezelőnek tekintendő, abban az esetben is, ha a tényleges adatkezelési tevékenységben, szervezésben nem vett részt. Ez a tény adott esetben a felelősség mértékére lehet befolyással. A vizsgált ajánlásgyűjtéssel összefüggésben ennek megfelelően valamennyi érintett párt, a képviselőjelölt adatkezelőnek tekintendő. A bejelentés szerint feltételezett jogsértés – miszerint a […] jelölő szervezet Budapest […] kerület […] számú egyéni választókerületében induló jelöltjének, […]nak a 2019. évi helyi önkormányzati választásokon történő indulásához szükséges ajánlások gyűjtése során a személyes adatokat jogosulatlanul kezelték, azokból a becsatolt újságcikkekből származó képek alapján adatbázist hoztak létre, az ajánlásokkal visszaéltek, illetve személyes adatokat másoltak egyik ajánlóívről a másikra, és ezzel megsértették az általános adatvédelmi rendelet 5. cikk (1) bekezdés a)-b) és e) pontjában, valamint a (2) bekezdésében foglaltakat – tényleges bekövetkezte a fentiek alapján nem alátámasztott, illetve nem tisztázható, hogy a feltételezett személyes adatok kezelésével kapcsolatos jogsértés, illetve adatbázis-építés tekintetében pontosan kit, illetve kiket terheli az adatkezelői felelősség.

Fentiek alapján a Hatóság az adatvédelmi hatósági eljárás indításától eltekint, és a jelen hatósági ellenőrzés során felmerült adatkezelési aggályokat a választások során felmerült adatkezelési problémákról szóló ajánlásában kívánja orvosolni. A Hatóság a 2019. évi helyi önkormányzati választásokkal, illetve az ajánlásgyűjtésekkel kapcsolatban érkezett bejelentéseket – azok hasonló problémafelvetése okán – összevontan kezeli, és az ügyek tapasztalatai alapján a választási adatkezelési tevékenységekkel kapcsolatban felmerült problémákat tervezett ajánlásában kívánja összefoglalni, illetve felhívni az adatkezelésben résztvevők figyelmét a választásokkal összefüggésben adatvédelmi szempontból legfontosabb követelményekre. Ennek alapján a Hatóság a rendelkező részben foglaltak szerint döntött a hatósági ellenőrzés lezárásáról.

IV. Egyebek

Az Ákr. 112. §-a, 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a jelen végzéssel szemben nincs helye jogorvoslatnak. A hatósági ellenőrzés lefolytatására az Ákr. 7. § (1) bekezdése és 98 §-a alapján a hatósági eljárásra vonatkozó rendelkezéseket kell alkalmazni az Ákr. VI. fejezetében írt eltérésekkel. Az Ákr. 100. § (1) bekezdése alapján a hatósági ellenőrzés hivatalból indul meg, azt a hatóság a hivatalbóli eljárás szabályai szerint folytatja le, amelynek során az Ákr. 103. § (1) bekezdése alapján az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. 103. és 104. §-ában foglalt eltérésekkel kell alkalmazni. Budapest, 2020. május 21. Dr. Péterfalvi Attila elnök c. egyetemi tanár