Орган по защите данных Венгрии о видеонаблюдении муниципалитетом

Iktatószám: NAIH/2019/2076/11 Tárgy: kérelemnek részben helyt adó határozat, hivatalbóli határozat

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság)

a ………………………………. (lakóhely: …………………………….; a továbbiakban:

Kérelmező) 2019. február 15-i kérelmére képmás személyes adata Kerepes Város

Települési Önkormányzata (székhelye: 2144 Kerepes, Vörösmarty u. 2.; a továbbiakban:

Kötelezett) általi kezelése tárgyában megindult – a Hatóság által 2019. március 11-én hivatalból a Kötelezett biztonsági kamerákkal kapcsolatos általános adatkezelési gyakorlatára kiterjesztett – adatvédelmi hatósági eljárásban:

I. határozatában

1. a Kérelmező kérelmének részben helyt ad és megállapítja, hogy a Kötelezett megsértette a Kérelmező információs önrendelkezési jogát azzal, hogy a 2144 Kerepes, Vörösmarty u. 2. épületben elhelyezett biztonsági kamerái – az indokolásban részletezett okokból – a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelet (a továbbiakban: általános adatvédelmi rendelet) rendelkezései megsértésével kezelték a Kérelmező képmás személyes adatát;

4. a kérelem szankció megállapítására vonatkozó részét elutasítja, ugyanakkor Kötelezettet az általa végzett jogellenes adatkezelés miatt hivatalból

5 000 000 Ft, azaz ötmillió forint adatvédelmi bírság megfizetésére kötelezi.

5. hivatalból elrendeli a jelen határozat nyilvánosságra hozatalát a Hatóság honlapján a Kötelezett azonosító adatainak közzétételével, a nem közérdekből nyilvános adatok anonimizálásával.

II. végzésében tekintettel arra, hogy túllépte az ügyintézési határidőt, akként rendelkezik, hogy 10 000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – írásban megjelölendő választása szerint bankszámlára utalással vagy postai utalvánnyal megfizet.

Az I.4. pont szerinti bírságot a jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH/2019/2076 BÍRS. számra kell hivatkozni.

Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. Az I.3. pontban előírt kötelezettség teljesítését a Kötelezettnek a jelen határozat véglegessé válásától számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A bírság és a késedelmi pótlék meg nem fizetése, illetve a fenti I.3. pont szerinti kötelezettség nem teljesítése esetén a Hatóság elrendeli a határozat végrehajtását. A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben megtámadható. A II. pont szerinti végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy érdemében hozott határozat elleni jogorvoslati kérelemben támadható meg. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

INDOKOLÁS

I.

Az eljárás menete és a tényállás tisztázása

1. A Hatósághoz benyújtott kérelmében a Kérelmező a Kötelezett székhelyén üzemeltetett biztonsági kamerák adatkezelését kifogásolta. Ebben sérelmezte az épületben dolgozók megfigyelését, az előzetes tájékoztatás hiányát, hogy többek között ismeretlen a felvételek rögzítésének intervalluma, az adattárolás ideje, az ellenőrző személyzet megfelelő jogosultsága, hogy online illetve valósidejű megfigyelés fennáll-e, készült-e a kamera működését szabályozó bármilyen szabályzat és a sérelmezett adatkezelésért felelős kiléte. Kérelmező ezzel kapcsolatban kérte a Hatóságtól a jogellenes adatkezelés megállapítását és a Kötelezett jogszabályoknak megfelelő adatkezelésre kötelezését. A Kérelmező kérte még megfelelő jogkövetkezmény megállapítását is.

3. A hatósági eljárás során a Hatóság 2019. március 11-én küldött megkeresése nyomán a Kötelezett 2019. március 27-én megküldte a biztonsági kamerákra vonatkozó dokumentációját és adatkezelési tájékoztatóját, amely szerint a Kötelezett minősül adatkezelőnek, a kamerák felvételeit pedig kizárólag biztonsági esemény esetén vagy hatósági, rendőrségi megkeresés teljesítésére használják fel, és ezek hiányában 3 munkanap elteltével a felvételek automatikusan törlésre kerülnek megnézés nélkül. A felvételekhez csak az adminisztrátor fér hozzá, automatikus naplózással, amelyből másolatot küldött a Kötelezett. A kapott dokumentáció alapján a Hatóság észlelte, hogy az adatkezelési tájékoztató és érdekmérlegelési teszt hatálya 2019. március 26., ezért a Hatóság ismételten megkereste a Kötelezettet a vizsgált időszakban hatályban lévő dokumentáció megküldése céljából.

4. A Hatóság újabb tényállás tisztázó kérdéseire a Kötelezett 2019. május 23-i válaszában azt nyilatkozta, hogy a 2018. május 25. és 2019. március 25. közötti időszakban „nem volt kijelölve adatkezelő”, és nem rendelkezett sem belső szabályzattal, sem adatkezelési tájékoztatóval a biztonsági kamerák adatkezelésével kapcsolatban.

5. Az adatkezelő személyének tisztázása érdekében a Hatóság újabb tényállás tisztázó kérdéseire a Kötelezett 2019. július 2-i válaszában azt nyilatkozta, hogy 2019. március 26. előtt a 2144 Kerepes, Vörösmarty u. 2. szám alatti épület üzemeltetője a Kötelezett volt. A Hatóság további kérdésére a Kötelezett előadta, hogy az épületen belül a Német Önkormányzat Kerepes a földszinti 12. számú irodát használja, valamint szükség esetén a földszinti kistárgyalót és az emeleti tanácskozó termet. A kérelem, és a kötelezettnek a megkeresésekre adott válaszai, általa szolgáltatott bizonyítékok alapján megállapíthatóak voltak továbbá a következők.

6. A Kötelezett az Ötv. 41. § (1) bekezdése alapján önálló jogi személy. A 15/2012. (IV.27.)

önkormányzati rendelet 3. számú melléklete szerint a 2144 Kerepes, Vörösmarty u. 2. szám alatti ingatlan a Kötelezett tulajdonában van. Az Ötv. 107. §-a alapján a helyi önkormányzat tulajdonában lévő vagyonnal kapcsolatos tulajdonosi jogok gyakorlásáról a Kötelezett képviselő-testülete rendelkezik. Az Ötv. 41. § (2) bekezdése alapján az önkormányzati feladatok ellátását a képviselő-testület és szervei biztosítják, melyek egyike a polgármesteri hivatal. A Kötelezett polgármesteri hivatala 2013. szeptember 30-án szerződést kötött a 2144 Kerepes, Vörösmarty u. 2. szám alatti ingatlanon kamerák létesítéséről és üzemeltetéséről. A Kötelezett polgármesteri hivatala a kamerák karbantartására és szervizelésére 2014. március 24-én kötött szerződést. A kiépítésről szóló szerződés nem állt rendelkezésre. A Kötelezett nyilatkozata szerint jelenleg a Kötelezett a kamerák adatkezelője. Ezen üzemeltetési szerződéseket a Kötelezett jegyzője írta alá. Nem áll rendelkezésre hivatalos képviselőtestületi vagy más döntés a kamerák használatával és felszerelésével kapcsolatban. A Kötelezett nyilatkozata szerint a 2144 Kerepes, Vörösmarty u. 2. alatti ingatlan üzemeltetője a 2019. március 26. előtti időszakban a Kötelezett volt. A Kötelezett által felszereltetett 2 db kültéri kamera a parkolót, 3 db beltéri kamera a bejárat körüli területet, az emeleti lépcsőt és az emeleti közlekedőfolyosót figyeli meg. A kamerák hang nélküli videofelvételt készítenek. A kamerás megfigyelés érintettjei a Kötelezett alkalmazottai, a helyi önkormányzati és nemzetiségi önkormányzati képviselők, valamint az önkormányzati ügyintézésre érkező ügyfelek. A kamerafelvételeket a rendelkezésre álló információk szerint csak biztonsági esemény esetén tekintik meg, amelyre a hozzáférési napló másolata szerint 2019. január 1. és 2019. március 22. között nem volt példa. A Kötelezett 2019. május 23-i nyilatkozata szerint a kamerarendszerhez kizárólag az adminisztrátor rendelkezik hozzáférési joggal, míg a felvételeket a jegyző és az adatvédelmi tisztviselő ismerheti meg naplózott módon, ugyanakkor a 2019. március 26-tól hatályos adatkezelési tájékoztató szerint a felvételek megismerésére a polgármester, a jegyző, az aljegyző és az adatvédelmi tisztviselő jogosult. II.

Az ügyben alkalmazandó jogszabályi rendelkezések

Az általános adatvédelmi rendelet 2. cikk (1) bekezdése szerint a rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak az adatoknak a nem automatizált kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésre az Infotv. 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt rendelkezésekben foglalt kiegészítésekkel kell alkalmazni. Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. A hatósági eljárás lefolytatására az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 7. § (1) bekezdése alapján az Ákr. rendelkezéseit kell alkalmazni. Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján személyes adat azonosított vagy azonosítható természetes személyre vonatkozó bármely információ. Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. Az általános adatvédelmi rendelet 5. cikk (1) bekezdése a) pontja alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”). Az általános adatvédelmi rendelet 5. cikk (1) bekezdése b) pontja alapján a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem lehet ezekkel a célokkal össze nem egyeztethető módon kezelni („célhoz kötöttség”). Az általános adatvédelmi rendelet 5. cikk (1) bekezdése c) pontja alapján a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). Az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az ott felsorolt jogalapok legalább egyike fennáll. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja alapján a személyes adatok kezelése jogszerű lehet, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja alapján a személyes adatok kezelése jogszerű lehet, ha az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.

Az általános adatvédelmi rendelet 6. cikk (3) bekezdése szerint az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania: a) az uniós jog, vagy b) azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik. Az Infotv. 5. § (3) bekezdése szerint az általános adatvédelmi rendelet 6. cikk (1) bekezdés c) és e) pontjában meghatározott adatkezelés (a továbbiakban: kötelező adatkezelés) esetén a kezelendő adatok fajtáit, az adatkezelés célját és feltételeit, az adatok megismerhetőségét, az adatkezelő személyét, valamint az adatkezelés időtartamát vagy szükségessége időszakos felülvizsgálatát az adatkezelést elrendelő törvény, illetve önkormányzati rendelet határozza meg. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése alapján az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. Az adatkezelő az általános adatvédelmi rendelet 13. cikke szerinti tájékoztatást köteles megadni az érintettek részére, amennyiben a személyes adatokat közvetlenül az érintettektől gyűjti. Az általános adatvédelmi rendelet 13. cikke alapján az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás. g) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; h) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról; i) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét; j) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;

k) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása; l) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír. m) ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról. A Magyarország helyi önkormányzatairól szóló 2011. évi CLXXXIX. törvény (a továbbiakban: Ötv.) 41. § (1) bekezdése szerint a helyi önkormányzat jogi személy, a Polgári Törvénykönyvről szóló törvény jogi személyekre vonatkozó rendelkezéseit az e törvényben foglalt eltérésekkel kell alkalmazni. A képviselő-testületet a polgármester, a megyei közgyűlés elnöke, a főpolgármester képviseli. Az Ötv. 41. § (2) bekezdése szerint az önkormányzati feladatok ellátását a képviselő-testület és szervei biztosítják. A képviselő-testület szervei: a polgármester, a főpolgármester, a megyei közgyűlés elnöke, a képviselő-testület bizottságai, a részönkormányzat testülete, a polgármesteri hivatal, a megyei önkormányzati hivatal, a közös önkormányzati hivatal, a jegyző, továbbá a társulás. Az Ötv. 107. §-a szerint a helyi önkormányzatot – törvényben meghatározott eltérésekkel megilletik mindazok a jogok és terhelik mindazok a kötelezettségek, amelyek a tulajdonost megilletik, terhelik. A tulajdonost megillető jogok gyakorlásáról a képviselő-testület rendelkezik. Az Infotv. 61. § (1) bekezdés a) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (2) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja alapján a Hatóság elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette az általános adatvédelmi rendelet rendelkezéseit. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján a Hatóság átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is. Az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján a Hatóság a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett. Az általános adatvédelmi rendelet 83. cikk (1) bekezdés alapján a Hatóság biztosítja, hogy a rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

Az Infotv. 75/A. §-a alapján a Hatóság az általános adatvédelmi rendelet 83. cikk (2)–(6) bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik. Az általános adatvédelmi rendelet 83. cikk (2) bekezdés alapján a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái; h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. Az általános adatvédelmi rendelet 83. cikk (7) bekezdés alapján a felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási bírság, és ha igen, milyen mértékű. Az Infotv. 61. § (4) bekezdés b) pontja alapján az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság esetén a bírság mértéke százezertől húszmillió forintig terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére kötelezett költségvetési szerv. Az Ákr. 10. § (1) bekezdése szerint ügyfél az a természetes vagy jogi személy, egyéb szervezet, akinek (amelynek) jogát vagy jogos érdekét az ügy közvetlenül érinti, akire (amelyre) nézve a hatósági nyilvántartás adatot tartalmaz, vagy akit (amelyet) hatósági ellenőrzés alá vontak. Az Ákr. 35. § (1) bekezdése szerint A kérelem az ügyfél olyan nyilatkozata, amellyel hatósági eljárás lefolytatását, illetve a hatóság döntését kéri jogának vagy jogos érdekének érvényesítése érdekében. Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő - nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. III.

Döntés

1. Az adatkezelő személye

Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján az érintettek képmása személyes adatnak, annak rögzítése személyes adat kezelésének minősül. A vizsgált adatkezelés tekintetében a Kötelezetten kívül a Kötelezett polgármesteri hivatala is szóba jöhet mint adatkezelő, azonban az adatkezelői szerep elhatárolása, a pontos hatásköri elosztás tekintetében az adatkezelés megkezdését megelőzően semmilyen írásos döntés, szabályzat, dokumentum nem született. Tehát felmerülhet a Kötelezett és a Kötelezett polgármesteri hivatalának közös adatkezelése. Azonban mivel a fentiekben kifejtettek szerint a polgármesteri hivatal az önkormányzat egyik szerve, továbbá a Kötelezett a 2019. március 26-tól hatályos adatkezelési tájékoztatójában saját magát jelölte meg adatkezelőként, ezért a Hatóság a Kötelezettet tekintette az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelőnek a vizsgált adatkezelés vonatkozásában. Egy esetleges jövőbeni új adatkezelés megkezdése előtt tisztázandó, hogy a biztonsági kamerás adatkezelés tekintetében a Kötelezett mely szerve mely döntéseket jogosult meghozni, ezzel kapcsolatban hogyan alakul a feladat- és hatáskör elosztása a Kötelezetten belül. Magáról az adatkezelés megkezdéséről és annak feltételeiről is a Kötelezett képviselőtestülete, vagy a képviselőtestület döntése által erre kijelölt szerve kell, hogy formális döntést hozzon, az általános adatvédelmi rendeletnek történő megfelelést igazoló alapos dokumentáció ismeretében.

A kérelemmel érintett tárgykörben a vizsgált adatkezelési időszak az általános adatvédelmi rendelet alkalmazandóvá válásától (2018. május 25.) kezdődik, az ezt megelőző időszak adatkezelését a Hatóság jelen eljárásban nem vizsgálta.

3. Az adatkezelés jogalapja

Az adatkezelő a jogszerű adatkezelés követelménye körében az adatkezelést az általános adatvédelmi rendelet 6. cikk (1) bekezdésében taxatívan meghatározott jogalapok valamelyikére alapozva kezdheti csak meg. A Kötelezett a vizsgált időszakban egészen 2019. március 26-ig nem azonosított semmilyen jogalapot, amely alapján az adatkezelését folytatta volna. 2019. március 26-tól az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdek jogalapot jelölte meg a kamerás adatkezelés jogalapjaként, jogos érdekként a saját alkalmazottainak, munkatársainak, illetve az ügyfeleknek a személy és vagyonbiztonságának biztosítását, ezek sérelmének megelőzését jelölve meg. Az általános adatvédelmi rendelet 6. cikk (1) bekezdés második albekezdése szerint a 6. cikk (1) bekezdés első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre. Mivel Kötelezett az Ötv. alapján közhatalmi szervnek minősül, a fentiekben kifejtettek miatt érvényesen nem alapozhatja a jogos érdek jogalapra az olyan adatkezelését, amely a közfeladata ellátásához, közhatalom-gyakorlásához szükséges épületben folytatott működésével függ össze. A Kötelezet esetén – tekintettel arra, hogy az általános adatvédelmi rendelet 6. cikk a) –d) pontjában megjelölt jogalapok alkalmazásának feltételei nem állnak fenn, egyedül a 6. cikk (1) bekezdés e) pontja jöhetne szóba mint az adatkezelés jogszerűségét megalapozó jogalap. E szerint akkor lehetne jogszerűnek tekinteni az adatkezelést, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. Az általános adatvédelmi rendelet 5. cikk (2) bekezdésében foglalt elszámoltathatósági követelményre tekintettel pedig, amely szerint az adatkezelőnek képesnek kell lennie annak igazolására, hogy adatkezelése megfelel az általános adatvédelmi rendelet 5. cikk (1) bekezdésében megfogalmazott követelményeknek. E követelmény alapján az adatkezelés jogalapjának, az adatkezelés szükségességét megalapozó okok fennállását, az általános adatvédelmi rendelet szerinti feltételeknek történő megfelelést az adatkezelőknek az adatkezelés ideje alatt bármikor (azaz folyamatosan) igazolniuk kell tudni, aminek akkor tudnak alapvetően eleget tenni, ha az adatkezelés minden releváns körülményét, ideértve a jogalap alkalmazása körében adott esetben szükséges döntések körülményeit is, megfelelően dokumentálják, így ezt bármikor a Hatóság rendelkezésére tudják bocsátani. A biztonsági kamerákkal kapcsolatos adatkezelés szükségességét így nem csak a kamerák felszerelésekor szükséges dokumentálni, hanem az okok változatlan fennállását időközönként az adatkezelő köteles ellenőrizni is, mivel az általános adatvédelmi rendelet 5. cikk (2) bekezdése alapján az adatkezelés indokának aktuális fennállását bármikor bizonyítania kell tudnia, így ésszerű időn belül szükséges észlelni, ha az adatkezelés indoka már megszűnt vagy lényegtelen mértékűvé vált. A Kötelezett 2019. március 26. előtt semmilyen dokumentációt nem készített a kamerás adatkezeléssel kapcsolatban, és a kamerák szükségességének 2013 óta történt felülvizsgálatát sem tudta bizonyítani. A Kötelezett az eljárás során semmivel sem igazolta, hogy a kérdéses adatkezelés a 2018. május 25-e és 2019. március 26-a közötti időszakban pontosan mely közérdekű vagy közhatalmi feladata ellátásához és mennyiben lett volna szükséges (azaz hogy az adott feladat ellátása szempontjából elérendő eredmény elérése miért csak így biztosítható). Mivel ez alapján a vizsgált ügyben nem igazolt az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap fennállása, ezért a Hatóság megállapította, hogy a vizsgált adatkezelés ezen időszak vonatkozásában megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését és ebből következően 5. cikk (1) bekezdés a) pontját is. Mivel a 2019. március 26-át megelőző időszak vonatkozásában semmilyen módon nem igazolt az adatkezelés pontos célja, az adatkezelés ezen időszak tekintetében az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontját, a meghatározott, egyértelmű és jogszerű célhoz kötött adatkezelés követelményét is sértette.

A 2019. március 26-i keltezésű tájékoztatók és érdekmérlegelési tesz – amellett hogy a fentiek szerint tévesen hivatkozik az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára az azt megelőző adatkezelés jogszerűsége szempontjából nem vehető figyelembe, hiszen csak az elfogadásukat követő időszak adatkezelése vonatkozásában lehetnek alkalmasak az adatkezelés jogszerűségét megalapozó körülményeke igazolására, ám továbbra sem derül ki, hogy melyik az a – az általános adatvédelmi rendelet 6. cikk (2) bekezdése, illetve az az Infotv. 5. § (3) bekezdése alapján jogszabályban meghatározott – közérdekű vagy közhatalom gyakorlásával járó feladat, amelynek ellátásához a kérdéses adatkezelés a megvalósult formájában ténylegesen szükséges, ráadásul – a határozatban alább kifejtettek szerint –nem terjednek ki az adatkezelés arányosságát és szükségességét (és emiatt jogszerűségét) jelentősen befolyásoló több körülményre, amely alapján az adatkezelés arányossága és szükségessége ezen utóbbi időszak vonatkozásában sem tekinthető igazoltnak.

A fentiek alapján a Kötelezett hosszú ideje, érvényes jogalap nélkül, jogellenesen végzett adatkezelést a kamerás megfigyelőrendszeren keresztül, ezzel megsértve az általános adatvédelmi rendelet 6. cikk (1) bekezdését és ebből következően 5. cikk (1)

bekezdés a) pontját is.

4. Az adatkezelés szükségessége és arányossága

Bár a személy- és vagyonvédelem mint adatkezelési cél a legtöbbször jogszerű cél lehet, azonban a tényleges fenyegetettség fennállása szükséges a konkrét helyen és időszakban ahhoz, hogy alkalmazható lehessen az adott adatkezelésre. Az adatkezelési cél elérésére igénybevett eszközöknek a cél elérésére alkalmasaknak, szükségeseknek, és arányosaknak kell lenniük, meg kell felelniük az általános adatvédelmi rendelet 5. cikke szerinti valamennyi alapelvnek. A személy- és vagyonvédelemi célú kamerák esetén a fenti körülmények mellett tekintettel kell lenni arra is, hogy a megfigyelni kívánt területen a települési, adott esetben a környező településekhez mért átlaghoz képest kiugróan magas-e a például a betörések, lopások, rongálásos bűncselekmények előfordulása1. Valós és közvetlen fenyegetés szükséges2, amely ténylegesen fennáll. A ténylegesen megvalósult bűncselekmények által okozott károk dokumentálása például ilyen lehet, összevetve a környéken szokásos bűnügyi statisztikákkal. A Hatóság álláspontja szerint egy önkormányzati épület tipikusan nem olyan helyszín, ahol kimagasló bűnözés várható, ellentétben például egy bankkal vagy benzinkúttal3. Az adatkezelési cél kellő konkrétságát az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja is előírja. A fentiekkel ellentétes információt a Kötelezett sem bocsátott a Hatóság rendelkezésére az adatkezeléssel kapcsolatos dokumentáció részeként. A Kötelezett az érdekmérlegelési tesztben egyetlen mobiltelefon 2017-ben történt eltűnését jelölte meg a kamerarendszer működtetésének indokaként azonban az iratok alapján a kamerák legalább 2013 óta működtek, ennek ellenére a 2017-es ügyben nem volt semmi hasznuk. Az azóta eltelt időben, az általános adatvédelmi rendelet alkalmazásának idején a szükségesség felülvizsgálata nem történt meg. Sem a Kötelezett által mellékelt 2019. március 26-i keltezésű érdekmérlegelési

1 Lásd CJEU C-13/16. sz. ügy (Rīgas satiksme), és 29. cikk alapján létrehozott Munkacsoport WP217 számú (06/2014) véleménye III.3.4. pont (43. oldal)

2 Lásd az Európai Adatvédelmi Testület 3/2019 számú, 2019. július 10-én közzétett iránymutatás tervezetének 31. pontja

3 A Hatóság fenti álláspontját támasztja alá többek között a német legfelsőbb szövetségi közigazgatási bíróság nemrég közzétett ítélete (https://www.bverwg.de/270319U6C2.18.0), amely kifejezetten kimondta a bevezető irányelvek 3. pontjában, hogy az általános adatvédelmi rendelet alapján a kamerás megfigyelés a bűncselekmények megakadályozása érdekében akkor szükséges, ha a megfigyelt területek vonatkozásában fennálló kockázat jóval meghaladja a mindennapi életben szokásos veszélyszintet.

teszt, sem más dokumentum nem értékeli továbbá azt, hogy egyéb, kevésbé intruzív módszerekkel hogyan lehetne a kívánt biztonsági hatást elérni, valamint nincs megfelelően indokolva a kamerák száma és az általuk lefedett relatíve nagy terület, amely azonban éppen nem értéktárgyak helyére irányul. A Kötelezett nem veszi figyelembe továbbá, hogy a kamerák felszerelése előtt, felszerelésük óta történt-e olyan és annyi bűnügyi incidens, amely szükségessé és arányossá tenné a kamerás megfigyelést, vagy annak megvalósított mértékű alkalmazását egy önkormányzati épületben, különö9sen a közforgalom előtt nyitva nem álló épületrészek vonatkozásában. A Kötelezett által mellékelt hozzáférési napló alapján az állapítható meg, hogy a 2019-es évben nem történt olyan biztonsági incidens, amely szükségessé tette volna a kamerafelvételeket. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti adattakarékosság elvéből következik, hogy a konkrét adatkezeléstől és jogalaptól függetlenül az adatkezelő köteles arra, hogy csak a jogszerű és konkrét cél eléréséhez feltétlenül szükséges és arányos mértékű adatkezelést folytasson, amely alapján fokozatosságot kell alkalmaznia. Ez azt jelenti, hogy a személyes adatok védelméhez való jogot legkevésbé korlátozó módszereket kell alkalmazzon és csak a legszükségesebb személyes adatokat kezelheti jogszerűen, a jelentősebb korlátozást eredményező módszereket csak akkor alkalmazhatja, ha a kevésbé korlátozóak nem működnek vagy előreláthatóan nagy valószínűséggel nem működnének. Ezt az értelmezést erősíti meg az Európai Adatvédelmi Testület 3/2019 számú, 2019. július 10-én közzétett iránymutatás tervezetének4 24. pontja is. A Kötelezett nem vette figyelembe az adatkezelés szükségességének és arányosságának mérlegelése körében, hogy nem egyedül használja az épületet, például abban találhatóak a német nemzetiségi önkormányzat által használt helyiségek is. Pusztán a korábbi adatkezelés automatikus folytatása 2018. május 25-ét követően nem alapozza meg az adatkezelés szükségességét és arányosságát. A Kötelezett az eljárás során sem valós és konkrét veszélyt nem tudott megjelölni, sem azt, hogy annak elhárítása érdekében miért alkalmatlan valamennyi, a kamerás adatkezelésnél kevésbé intruzív ésszerűen alkalmazható módszer. Azon túl, hogy az általános biztonsági cél önmagában nem minden esetben teljesíti a szükségesség feltételét, ezen felül az arányosság is vizsgálandó szempont, amelyben nemcsak a bűnelkövetés kockázata, hanem a kamerázás egyéb kockázata is figyelembe veendő szempont. Speciális funkciójú helyiségek (például közigazgatási ügyintézés vagy közfeladat ellátásának helyszínéül szolgáló helyiségek előtti folyosók) esetén az arányosság követelménye még hangsúlyosabb elbírálás alá esik. A Hatóság álláspontja szerint különösen tekintettel kell lenni a megalapozottság és arányosság követelményének teljesülésére olyan helyiségek tekintetében ahol a helyiségek megfigyelése során a kamera szükségképpen olyan adatokat is rögzítene, amelyek politikai szempontból érzékenyek lehetnek, így felhasználásuk az érintettek információs önrendelkezési jogát aránytalanul korlátozhatná.5 Az önkormányzat épületének helyiségei közérdekű és politikai célokat is szolgálnak, így e megközelítés megfelelően irányadó a jelen ügyben is. A Kötelezett nem mérlegelte az általa a Hatóságnak benyújtott dokumentációban, és a végkövetkeztetésnél figyelmen kívül hagyta, hogy hivatalos, közérdekből eljáró személy

4 https://edpb.europa.eu/sites/edpb/files/consultation/edpb_guidelines_201903_videosurveillance.pdf 5 Lényegében ezt fejtette ki a Hatóság az országgyűlési létesítmények folyosóinak és közös használatú helyiségeinek, tárgyalóknak, váróknak az elektronikus megfigyelése kapcsán a NAIH-6123-2-2018-J számú jogszabálytervezet véleményezés 47. pontjában is az egyes törvényeknek az Európai Unió adatvédelmi reformjával összefüggő módosításáról szóló kormányelőterjesztés tervezetével kapcsolatban (https://www.naih.hu/files/NAIH_2018_6123_2_J_2018-10-09.pdf).

olyan tevékenysége is a megfigyelés tárgyát képezheti az épületben, amely nem minősül közérdekből nyilvános adatnak6.

A Kötelezett nem tudta bizonyítani az eljárás során, hogy más biztonsági intézkedések és adatkezelési módok nem alkalmazhatóak a kamerás adatkezelés helyett, továbbá az általa meghatározott cél túlzottan általános és nem kellően megalapozott volt, így emiatt is túl széleskörű volt az adatkezelés. A Kötelezett a fentiek miatt megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontja szerinti célhoz kötöttség és c) pontja szerinti adattakarékosság alapelvét.

5. Tájékoztatási kötelezettség

A Kötelezett nyilatkozatai szerint a székhelyén (2144 Kerepes, Vörösmarty u. 2.) található biztonsági kamerák adatkezelésével kapcsolatban 2018. május 25. és 2019. március 25. között nem volt elérhető semmilyen adatkezelési tájékoztató. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése értelmében az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére legalább az általános adatvédelmi rendeletben előírt minimális információkat nyújtsa. Ez mindenekelőtt ahhoz szükséges, hogy az érintett gyakorolni tudja az őt megillető jogokat. Az általános adatvédelmi rendelet 13. cikke értelmében, ha a személyes adatokat az érintettől gyűjtik, akkor az adatkezelőnek - az adatok megszerzésének időpontjában – a 13. cikk (1) és (2) bekezdésében foglalt tájékoztatást kell adnia az érintettnek. A kamerás adatkezelés tekintetében a jogszabályok nem határozzák meg a tájékoztatás formáját, azonban az elszámoltathatóság elvéből, valamint abból kifolyólag, hogy az adatkezelőnek igazolni kell az előzetes tájékoztatás megtörténtét, ennek módja jellemzően az írásbeli forma. Kamerás megfigyelés esetén az előzetes tájékoztatást első lépésként már a megfigyelt területre lépéskor szükséges biztosítani, és – a dolog természetéből adódóan – ekkor még a megfigyelt területen kívül (bejárati ajtón, kapun) elhelyezett piktogram útján nyújtott rövid tájékoztatás szükséges, amelyet ugyanakkor második mozzanatként szükségszerűen ki kell egészítenie egy legalább a helyszínen elérhető teljes (hosszabb és részletes) tájékoztatónak. Ez utóbbi tájékoztató elérhetőségéről a kihelyezett piktogramon kell tájékoztatást adni (annak egyik funkciója valójában éppen ez: a területre belépéskor nem elkerülhető adatkezelésre figyelmeztet és a szükséges teljes körű tájékoztatás lehetőségére, hozzáférhetőségére utal), és ezt a tájékoztatót az érintett kérésére rendelkezésre kell bocsátani. Ennek megfelelően ilyen helyzetben önmagában az, hogy az érintettnek – egy megfelelő rövid figyelemfelhívó, az alapinformációkat tartalmazó tájékoztatást követően – a minden részletre kiterjedő tájékoztatás érdekében aktívan magának is fel kell lépnie, nem jelenti a tájékoztatási kötelezettség megsértését (arra is tekintettel, hogy ilyen helyzetekben nem hozzájárulás alapján kerül sor az adatkezelésre) akkor, ha ez a részletes tájékoztató könnyen és késedelem nélkül elérhető.

Mivel 2019. március 26. előtt semmilyen igazolható módon, formában nem tájékoztatta az érintetteket a kamerás adatkezelésről és annak körülményeiről, a Kötelezett nem teljesítette az általános adatvédelmi rendelet szerinti tájékoztatási kötelezettségét, ezzel megsértve az általános adatvédelmi rendelet 12. cikkének (1) bekezdését, valamint a 13.

cikkének (1) és (2) bekezdését. Mivel a Kötelezett az adatkezelés alatt végig köteles megfelelően dokumentálni az adatkezelést és azt bármikor be kellett tudnia mutatni, és ezt a Kötelezett sem az érintettek, sem a Hatóság irányába nem tudta teljesíteni, ezzel

6 Lásd az Európai Adatvédelmi Testület 3/2019 számú, 2019. július 10-én közzétett iránymutatás tervezetének 37. pontja az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerinti elszámoltathatóság elvét is sérti, mivel az adatkezelése jogszerűsége így nem volt megállapítható sem az érintettek, sem a Hatóság által, a fenti elv alapján pedig Kötelezettet terheli annak bizonyítása, hogy adatkezelése jogszerű és átlátható volt.

A Kötelezett az eljárás hatására elkészítette el, illetve tette közzé adatkezelési tájékoztatóját, amely azonban csak 2019. március 26-tól hatályos. Tekintettel ugyanakkor arra, hogy ezen tájékoztató is olyan jogalapok alapján történő adatkezeléshez kapcsolódóan ad tájékoztatást [általános adatvédelmi rendelet 6. cikk

(1) bekezdés a) és f) pont], amelyek az általános adatvédelmi rendeletnél fogva nem alkalmazhatóak, ezen utóbb született tájékoztatás tartalma sem felel meg a vonatkozó előírásoknak. A hozzájárulás az általános adatvédelmi rendelet 4. cikk 11. pontja alapján csak konkrét, tevőleges lehet, a passzív hozzájárulás érvényességét az általános adatvédelmi rendelet (32) preambulumbekezdése kifejezetten kizárja. A jogos érdek jogalapot a Kötelezett mint közfeladatot ellátó szerv nem alkalmazhatja az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pont utolsó mondata alapján.

6. A jogellenes adatkezelés jogkövetkezményei

A Kötelezett a fentebb kifejtettek alapján nem vett figyelembe több olyan fontos tényezőt, amely a kamerás megfigyelés szükségességét és arányosságát, valamint a jogalap érvényességét jelentősen befolyásolja, így jelenleg is jogszerűtlen adatkezelést folytat, amely több szempontból az általános adatvédelmi rendelet előírásaiba ütközik. Emiatt szükséges a kamerás adatkezelés jelenlegi formájának megtiltása az általános adatvédelmi rendelet 58. cikk (2) bekezdés f) pontja alapján.

A Hatóság elutasította a Kérelmezőnek a bírság kiszabására vonatkozó kérelmét, mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen – a közérdek érvényesítésének körébe eső jogkövetkezmények alkalmazása tekintetében a bírságkiszabás vonatkozásában a Kérelmező nem minősül ügyfélnek az Ákr. 10. § (1) bekezdése alapján, illetve – mivel az Ákr. 35. § (1) bekezdésének nem felel meg – e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető.

A Hatóság mindazonáltal hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. Abban a kérdésben, hogy indokolt-e az adatvédelmi bírság kiszabása, a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv.75/A. §-a alapján hivatalból mérlegelte az ügy összes körülményét és megállapította, hogy a jelen eljárás során feltárt jogsértések esetében az általános adatvédelmi rendelet 58. cikk (2) bekezdés b) pontja szerinti elmarasztalás nem arányos és visszatartó erejű szankció, ezért bírság kiszabása szükséges. E körben mindenekelőtt azt vette figyelembe a hatóság, hogy a Kötelezett adatkezelési gyakorlata lényegében teljes egészében figyelmen kívül hagyta a vonatkozó jogi kötelezettségeket, anélkül kezelt személyes adatokat, hogy az adatkezelés jogszerűségének biztosítására bármilyen erőfeszítést tett volna. A Hatóság az általános adatvédelmi rendelet 83. cikk (7) bekezdése és az Infotv. 61. § (4) bekezdés b) pontja szerinti összeghatárok figyelembevételével állapította meg a bírság összegét, mivel a Kötelezett egy települési önkormányzat.

A jogkövetkezmény meghatározása során a Hatóság az alábbi tényezőket tekintette a bírság kiszabására is kiható módon relevánsnak:

a) az átláthatóság hiánya egyéb konkrét jogsértés nélkül is nagy kockázatot jelent az érintettek jogaira, b) a jogsértéseket egy közhatalmat gyakorló szerv követte el, c) az érintettek száma meglehetősen nagy, tekintettel arra, hogy az adatkezelés kihatással van a Kötelezett valamennyi alkalmazottjára, illetve valamennyi önkormányzati képviselőre, továbbá a Kötelezetnél ügyet intéző ügyfelek mindegyikére, d) súlyosan jogsértő módon, az alapvető adatkezelési szabályok és adatkezelői kötelezettségek teljes figyelmen kívül hagyásával történt az adatkezelés, e) több szempontból is jogellenes az adatkezelés, több előírást megsértett, f) a jogellenes adatkezelés meghatározhatatlan idő óta, de bizonyíthatóan több éve folyamatosan folyik. A Hatóság enyhítő körülményként értékelte, hogy a Kötelezettel szemben első alkalommal állapított meg adatvédelmi jogsértést. A Kötelezett bevételi főösszege a 2018. évi beszámolója szerint kerekítve 1,6 Mrd Ft volt, így a kiszabott bírság nem jelent teljesíthetetlen kötelezettséget, ugyanakkor érezhető mértékű, így alkalmas visszatartó erőként a személyes adatok védelméhez való jog jövőbeni sérelmét megelőzni. A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött bírság kiszabásáról. A határozatnak a Hatóság honlapján történő nyilvánosságra hozatalát a Hatóság az Infotv. 61. § (2) bekezdés b) pontja alapján rendelte el, mivel azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta.

7. Az ügyintézési határidő túllépése

A Hatóság az eljárás során túllépte az Infotv. 60/A. § (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek – Kérelmező írásban megjelölendő választása szerint – bankszámlára utalással vagy postai utalvánnyal.

8. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. Az Ákr. 135. § (1) bekezdés a) pontja szerint a Kötelezett a törvényes kamatnak megfelelő mértékű késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget. A Polgári Törvénykönyvről szóló 2013. évi V. törvény 6:48. § (1) bekezdése alapján pénztartozás esetén a Kötelezett a késedelembe esés időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni. Ha az előírt kötelezettségek teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettségeket határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett a Hatóság végleges döntésében foglalt kötelezésének nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság foganatosítja. Budapest, 2019. október ’ ’

Dr. Péterfalvi Attila elnök c. egyetemi tanár