Ügyszám: NAIH/2020/2074/2. Előzmény: NAIH/2019/1360. NAIH/2018/6733.

Tárgy: Kérelmező kérelmét elutasító határozat

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) […] kérelmező (a továbbiakban: Kérelmező) kérelmére a […]-val (a továbbiakban: Kérelmezett) szemben 2018. november 09. napján indult adatvédelmi hatósági eljárásban meghozta az alábbi

Határozatot A Hatóság a kérelmet elutasítja. A Hatóság megállapítja, hogy túllépte az ügyintézési határidőt, és ezért 10.000 Ft-ot, azaz tízezer forintot a Kérelmezőnek – választása szerint – bankszámlára utalással vagy postai utalvánnyal megfizet. A Hatóság határozatával szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtania elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## I N D O K O L Á S

## I. Az eljárás menete és a tényállás tisztázása

I.1.A Kérelmező a Hatósághoz 2018. november 8. napján postai úton érkezett kérelmében adatvédelmi hatósági eljárás megindítását kezdeményezte. Ebben kifejtette a Kérelmező, hogy a munkaviszonya felmondással szűnt meg a Kérelmezettnél 2018. október 08. napján. A felmondás napján készült munkakör átadás-átvételi jegyzőkönyvben a Kérelmező kérte a Kérelmezettől, hogy a kizárólagos használatra átadott számítógépen lévő (különleges, egészségügyi és biometrikus) személyes adatait tartalmazó dokumentumokat adja ki a részére. A Kérelmező továbbá akként nyilatkozott, hogy a kérelme benyújtásáig nem teljesítette a Kérelmezett az érintetti jogai gyakorlásával kapcsolatos kérelmét. A Kérelmező arról is nyilatkozott, hogy a tudomására jutott olyan tény, miszerint a részére kizárólagos használatra átadott számítógépen lévő adatait a hozzájárulása nélkül többen is megtekintették, arról több másolatot is készítettek és jogellenesen felhasználták. A Kérelmező állítása szerint a számítógép által mentett jelszó segítségével a magánlevelezése is elérhetővé vált jogosulatlan személyek részére. A Kérelmező adatvédelmi hatósági eljárás lefolytatására irányult kérelme a hozzáférési joga, valamint a törléshez való joga alapján benyújtott érintetti kérelme teljesítésének megtagadása, valamint a személyes adatai kezelésének jogellenességnek megállapítására irányult, továbbá kérte a Hatóságot, hogy utasítsa a Kérelmezettet a hozzáférési és a törléshez való joga alapján benyújtott kérelme teljesítésére. A Kérelmező csatolt dokumentumaiból megállapítható, hogy a felmondásakor készített jegyzőkönyvben 2018. október 8. napján, majd 2018. október 15. napján kelt levelében ismételten kérte a személyes adatai rendelkezésére bocsátását, továbbá azok törlését, hozzáférhetetlenné tételét. Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indított. A Kérelmező - a Hatóság hiánypótlási felhívására küldött 2018. december 10. napján kelt nyilatkozatában előadta, hogy a Kérelmezett továbbra sem teljesítette az érintetti jogai gyakorlásával kapcsolatos kérelmét. A Hatóság az adatvédelmi hatósági eljárás megindításáról a NAIH/2019/1360. ügyiratszámú végzésében értesítette a Kérelmezettet, egyidejűleg a tényállás tisztázása érdekében tájékoztatást kért a Kérelmezettől. A Kérelmezett ennek a felhívásnak a 2019. február 18. napján kelt levelével tett eleget (Kérelmezett 1. sz. nyilatkozata). A Hatóság úgy ítélte meg, hogy a tényállás tisztázáshoz a Kérelmezett újabb nyilatkozatai szükségesek, ezért a Hatóság végzéseiben az eljárás folyamán az első tájékoztatás kérése után, még háromszor (2019. március 29., május 8. és június 27.) hívta fel nyilatkozattételre a Kérelmezettet. I.2. Kérelmezett nyilatkozata folyamatban levő peres eljárással kapcsolatban A Kérelmezett 1.számú nyilatkozatában előadta, hogy a Kérelmező a Hatóság előtt indult eljárás tárgyával összefüggésben 2018. október 24. napján keresetet nyújtott be a Kérelmezett, mint alperes ellen a Pesti Központi Kerületi Bírósághoz (a továbbiakban: Bíróság). A Bíróság a […] számú végzésével elrendelte a keresetlevél áttételét a Fővárosi Törvényszékhez. Az áttételt elrendelő végzés […] számon 2018. november 28. napján jogerőre emelkedett. A Kérelmezett által hivatkozott, és becsatolt […] sz. végzés a Kérelmező által kezdeményezett sérelemdíj megállapítása iránti eljárás megindítására hivatkozik. A Kérelmezett megküldte a Hatóság részére a hivatkozott végzés másolatát. A Kérelmezett az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 48. § (1) bekezdésének a) pontjára hivatkozással, miszerint a hatóság az eljárást felfüggeszti, ha az előkérdés bíróság hatáskörébe tartozik, kérte a Hatóság eljárásának felfüggesztését. A Kérelmezett álláspontja szerint a peres eljárás az adatvédelmi hatósági eljárás tekintetében előkérdésnek minősül, így ez alapján az Ákr. 48. § (1) bekezdés a) pontja alapján az adatvédelmi hatósági eljárás felfüggesztésének van helye. A Kérelmezett a fentieken túl a Hatóság által feltett kérdésekre az alábbiak szerint nyilatkozott. I.3.Kérelmező első érintetti kérelme „A 2018. október 08. napján kelt munkakör átadás-átvételi jegyzőkönyvben a kérelmező által előterjesztett, „a számítógépen lévő adatai és jogosultságainak a személyes jelenlétében történő teljes törlését, a személyes adatainak kiadását” tartalmazó kérelmét a […] tudomásul vette, a kérés teljesítését nem vitatta. A […] ennek megfelelően előkészítette a kérelem teljesítését annak érdekében, hogy a GDPR 12. cikkében foglaltak szerint elősegítse az érintett 15-22. cikk szerinti jogainak gyakorlását. Már a kérelem előterjesztését követően és az azt követő napra is lehetőséget biztosított a […] arra, hogy a kérelmező személyes jelenlétében és biztonságos adatkezelési körülmények mellett a kérelmező kérelme teljesítést nyerhessen. […] A kérelmező fenti kérelmének teljesítése azonban akadályba ütközött, mivel a kérelmező nem tett eleget a – a munka törvénykönyvéről szóló 2012. évi I. törvény 6. § (2) bekezdése szerinti -, a kérelemben foglaltak végrehajtásához szükséges jóhiszemű eljárási és együttműködési kötelezettségének, akkor

• amikor megtagadta a […] által előkészített adatvédelmi nyilatkozatok aláírását, továbbá akkor, • amikor a kérelmező ragaszkodott ahhoz, hogy a számítástechnikai eszközről maga mentse ki az adatokat és ne a […] informatikai munkatársa végezze a mentési műveletet” A Kérelmezett az 1. sz. nyilatkozatában utalt arra, hogy tekintettel arra, hogy a számítógép a Kérelmezettnek „feladatellátása szempontjából létfontosságú”, ezért a Kérelmezettnek „jogos érdeke fűződik ahhoz, hogy a tulajdonában álló eszközről történő adatmentést a […] informatikai munkatársa végezze el.” I.4. Kérelmező második (2018. október 17. napján érkezett) érintetti kérelme A Kérelmezett a Kérelmező által benyújtott második érintetti kérelme teljesítését sem tagadta meg, hanem indokolatlan késedelem nélkül – 2018. október 24. napján kelt dokumentumában tájékoztatta az érintett az intézkedéseiről. „Ebben ismételten kérte […] kérelmező együttműködését, különösen abban, hogy szíveskedjen a kérelemben foglaltak végrehajtása érdekében időpontot egyeztetni, továbbá a […] irodaházában a kérelem a kérelem teljesíthetősége érdekében megjelenni.” A Kérelmezett nyilatkozata szerint „[…] az újabb kérelem teljesítése érdekében ismételten elmulasztott együttműködni a […] hivatali szervével, nevezetesen a jogi képviselőjének a 2019. január 30. napján érkezett leveléig a […] -val nem vette fel a kapcsolatot az adatai átadására szolgáló időpont egyeztetése iránt és semmilyen más módon nem működött közre a kérelme teljesíthetősége érdekében.” I.5. Kérelmező harmadik (2019. január 30. napján, jogi képviselője útján előterjesztett) kérelme A jogi képviselő nyilatkozata szerint a kiadás jogalapja körében a tudomása szerint a felek között vita nem volt, ezért csupán azt kérte, hogy a Kérelmező személyes megjelenése mellett a Kérelmező személyes adatai vonatkozásában a hozzáférési jog gyakorlását biztosítsa, továbbá tájékoztatást kért arról, hogy felmerült-e adatvédelmi incidens vagy jogalap nélküli felhasználás a Kérelmező személyes adataival összefüggésben. A Kérelmezett 2019. február 18. napján kelt levelében tájékoztatta a Kérelmező jogi képviselőjét a kérelem nyomán hozott intézkedéseiről. A levelet másolatban a Kérelmezett a Hatóság rendelkezésére bocsátotta. A fenti tájékoztatás szerint a Kérelmezett korábban nem tagadta meg az érintetti kérelem teljesítését, azonban álláspontja szerint „Tekintettel arra, hogy a bíróság előtti peres eljárásban, valamint a Hatóság előtti adatvédelmi eljárásban a […] -t bizonyítási kötelezettség terheli, ezért a kérelmező kérelmének teljesítése tekintetében függő helyzet állt elő. A fenti függő helyzetet a […] hivatali szerve a Nemzeti Adatvédelmi és Információszabadság Hatósághoz intézett levelében is jelezte, hivatkozva a GDPR 17. cikk (2) bekezdés e) pontjára, miszerint a személyes adatok törléséhez való jog nem alkalmazható, amennyiben az adatkezelés szükséges jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.”

I.6. A fentieken túl a Kérelmezett tájékoztatta a Hatóságot, hogy nem tud arról nyilatkozni, hogy milyen személyes adatok találhatók az informatikai eszközön, mert „A […] -nak az adatok eszközön való tényleges elhelyezéséről nem állt módjában megbizonyosodni, tekintettel arra, hogy az szükségszerűen az adatok megismeréséhez vezetne, amelyet a […] kizárólag a kérelmező személyes jelenlétében tart jogszerűnek a kérelmező erre irányuló kérésére és hozzájárulására figyelemmel.” A Kérelmezett a Kérelmező munkaviszonyának megszüntetésekor vette vissza a Kérelmező kizárólagos használatára átadott számítógépet hivatkozással a munka törvénykönyvéről szóló 2012. évi I. törvény 80. § (1) bekezdésére, mely alapján a munkavállaló munkaviszonya megszüntetésekor munkakörét az előírt rendben köteles átadni és a munkavállalóval elszámolni. A Kérelmezett nyilatkozata szerint „A […] - nak a kérelmezővel kapcsolatos anomáliát megelőzően nem volt az informatikai eszközök használatára vonatkozó belső szabályzata, ugyanakkor a […] hangsúlyozza, hogy a tulajdonában álló informatikai eszközön történő magáncélú személyes adatkezelést nem engedélyezte és ennek feltételeit – úgy mint a Tisztelt Hatóság tájékoztatójában foglalt, a laptop merevlemezén történő partíció létrehozása – sem teremtette meg.” I.7.A Kérelmező 2019. március 14. napján továbbította a Hatóság részére a 2019. március 01. napján készült jegyzőkönyv (a továbbiakban: Jegyzőkönyv) másolatát, mely a Kérelmező hozzáférési és törlési kérelem teljesítését dokumentálja. A jegyzőkönyv szövege szerint: A kérelmezett IT Irodavezetője a lezárt csomagolásban lévő (a kérelmező személyes adatait tartalmazó) eszközt a Kérelmezett tárgyalótermébe áthozták. A kérelmező jogi képviselője kérésére a Kérelmezett adatvédelmi tisztviselője másolati példányt készített arról a jegyzőkönyvről, mely a számítástechnikai eszköz átvételét követő napon (2018. október 09. napján) történő adatkimentéssel kapcsolatos körülményeket rögzíti, az alábbiak szerint. „A 2018. október 9-én kelt jegyzőkönyv tanúsága szerint azt a kérelmező nem írta alá. Az abban foglalt törlésre irányuló intézkedés azért nem került végrehajtásra, mert a kérelmező megtagadta a jegyzőkönyv aláírását, amely által nem volt felhatalmazása a […] - nak az adatok törlésére, ezért a kérelmező eredeti kérelmét a […] felmondottnak tekintette, amelyben az adatok kimentését és törlését kérte a kérelmező.” A jegyzőkönyvvezető megállapította, hogy az eszköz bélyegzővel ellátott papírja sértetlen, továbbá, hogy a gép felnyitását és bekapcsolását követően megállapítást nyert, hogy […] profiljával volt bekapcsolva a gép. A Kérelmező jogi képviselő az alábbi kérdéseket tette fel a Kérelmezett rendszergazdája részére: „Miért nem jött be a BitLocker ezen a gépen, amikor bekapcsoltuk? - Elképzelhető, hogy azért, mert nem lett kikapcsolva a gép, mivel amikor lehajtják a fedelet, akkor alvó állapotba kerül. Miért […] neve alatti profil jön fel, amikor bekapcsoltuk? - Mert amikor a kérelmező jelenlétében az első adatmentést megkísérelték, domain adminnal végezték, és aki domain adminnal belép, annak a profilját hozza fel. Jelzem, hogy én ezt a gépet akkor láttam utoljára, amikor a fenti adatmentést megkíséreltük.” A Kérelmező állítása szerint a számítógépet eleve bekapcsolt állapotban vitték el az irodájából, 2018. október 8. napján a délelőtti órákban. A Kérelmező és az informatikusok megtekintették a gépen található eseménynaplót (log fájl), amiről az informatikusok kimentik a szükséges adatokat, majd a Kérelmező és a Kérelmezett közösen megállapították, hogy a kérelmező által kért valamennyi személyes adata az érintett eszközről, részére kimentésre került, illetve a Kérelmezett is kimentette saját részére a tevékenységével kapcsolatos adatokat, majd miután az adatoknak az eszközre történő kimentésének folyamata befejeződött, és a Kérelmező által törölni kért személyes adatok visszaállíthatatlanul törlésre kerültek. I.8. A Hatóság hivatkozással a Kérelmező által 2019. március 14. napján küldött Jegyzőkönyvre felhívta a Kérelmezettet arra, hogy küldje meg a Hatóság részére a Kérelmező kizárólagos használatára átadott, majd a Kérelmező munkaviszonyának megszüntetésekor visszavett számítógépről lementett logfájlokat, továbbá tájékoztassa a Hatóságot arról, hogy az egyes azonosítók kihez tartoznak annak megállapítása érdekében, hogy egyértelműen megállapítható legyen, hogy ki és mikor lépett be a számítógépbe. A Hatóság ugyanezen logfájlok becsatolását a Kérelmezőtől is kérte végzésében. A Hatóság annak érdekében kérte be az említett logfájlokat, hogy felderítse azt, hogy a számítástechnikai eszköz visszavétele és az érintetti kérelem teljesítése közötti időszakban beléptek-e abba, illetve használták-e azt. A Kérelmező arra hivatkozott, hogy a logfájlokat nem tudja megküldeni a Hatóság részére, mert az a részére nem került átadásra. A Kérelmezett logfájlok kiadására vonatkozó felhívásra küldött nyilatkozata szerint a Kérelmezett „a saját jogos érdekében másolta ki technikai célokra figyelemmel” a logfájlokat. A Kérelmező érintetti – hozzáférési és törlési - kérelmének teljesítését követően a Kérelmezett úgy ítélte meg, hogy már nem szükséges azok tárolása, ezért törölte azokat. A Hatóság úgy ítélte meg, hogy a Kérelmezett újabb nyilatkozata szükséges, többek között annak tisztázására, hogy mire alapozta azt a feltevést, hogy a továbbiakban már nincs szüksége a logfájlokra, és azokat miért nem csatolta már be az 1. számú nyilatkozatával, melyben az alábbiakkal kapcsolatos felhívásra kellett választ adni és azt alátámasztó bizonyítékokat becsatolni:

- A Kérelmezőnek kizárólagos használatra átadott számítógép Kérelmező által történt visszavétele után az informatikai eszközön található személyes adatokat kik ismerhették meg, illetve kik és hogyan használták fel, tárolták azokat? Milyen célból történt az adatok felhasználása és tárolása? (6.oldal) - Csatoljon be a válaszaival kapcsolatos minden olyan dokumentummásolatot, amelyek az állításait alátámasztják! (8.oldal) A fenti – NAIH/2019/1360/6. számú felhívásra – a Kérelmezett által adott nyilatkozat szerint azt a feltevését, hogy a továbbiakban már nem szükséges a logfájlok tárolása arra alapozta, hogy a Kérelmező a Jegyzőkönyvben azt nyilatkozta, hogy a Kérelmezettel szemben további követelése nincs, ezért a Kérelmezett szerint ezen adatok tárolása nemhogy szükséges, hanem ellenkezőleg, az általános adatvédelmi szabályokkal ellentétes lett volna. A Kérelmezett arra is hivatkozott, hogy az 1. számú nyilatkozatával azért nem csatolta be a logfájlokat, mert akkor azok még nem álltak a rendelkezésére tekintettel arra, hogy a Jegyzőkönyvben rögzített érintetti kérelem teljesítését megelőzően a számítógépbe nem léptek be. A Kérelmezett nyilatkozata szerint a más személy számítógépén csak a saját fiókjukat érhetik el a felhasználók, és csak a saját jelszavukkal léphetnek be. A Kérelmező számítógépébe nem tudtak egyáltalán belépni, mert „…a számítógép fizikailag el volt különítve, le volt ragasztva, illetéktelenek elől el volt zárva, nem lehetet belépni. Az eszköz a Kérelmező jelenlétében és a kérelmező azon meggyőződése után került felnyitásra, hogy a számítógép lezárt állapotban volt az adatkimentés megkezdésekor, ahogy ezt a jegyzőkönyv is rögzítette…”

I.9. A Kérelmezett a Hatósághoz 2019. május 8. napján hivatkozással az Ákr. 5. § (1) bekezdésére további nyilatkozatokat és észrevételeket kívánt tenni (a továbbiakban: észrevétel). Az észrevételben a Kérelmező kihangsúlyozta, hogy az alapvető nézetkülönbség a Kérelmezővel abban volt, hogy a Kérelmező nem értett egyet azzal, hogy informatikus jelenlétében történjen az adatkimentés, továbbá ez a Kérelmező együttműködésének a hiányára utalt, mivel a Kérelmező tudatában volt annak, hogy csak így teljesíthető a kérelme. A Kérelmezett nyilatkozata szerint a Kérelmező hozzájárulása ahhoz volt szükséges, hogy az adatkimentés során a személyes adatait a Kérelmezett informatikusa megismerhesse, mivel a Kérelmezett véleménye szerint ehhez jogos érdeke a Kérelmezettnek, mint munkáltatónak nem fűződhet. I.10. A Kérelmezett a Hatóság NAIH/2019/1360/17. számú végzésére adott nyilatkozatában kifejtette, hogy álláspontja szerint az adatvédelmi hatósági eljárás megszüntetése már a Kérelmező 2019. december 13-i levele tartalmának megismerése után indokolt lett volna, mivel a Kérelmezett álláspontja szerint a Kérelmező nem tett eleget a Hatóság hiánypótlási felhívásának. I.11. A Kérelmezett a Hatóság NAIH/2019/1360/18. számú végzésére adott nyilatkozatában azt is előadta, hogy álláspontja szerint a logfájlok törlésére kötelezettsége állt fenn, hiszen azokat nem kezelhette, tekintettel arra, hogy azok a Kérelmező személyes adatait tartalmazták. Továbbá arról tájékoztatta a Hatóságot, hogy 2019. március 1-jén, a Kérelmező kérelmének teljesítése napján intézkedett a logfájlok kimentése iránt, amelyek csak a kérelem teljesítése napjára vonatkozó, és az annak teljesítésével összefüggő logfájlokra irányult, tehát ezek csak arra szolgálhattak bizonyítékul, hogy a Kérelmező azon a napon a számítógépébe bejelentkezett és az adatkimentés a kérelme szerint megtörtént. A logfájlok kimentésének oka a Kérelmezett nyilatkozata szerint az volt, hogy abban az esetben, ha a Kérelmező esetleg ismételten meggondolta volna magát és a Kérelmezett szerint szükséges nyilatkozatok kitöltését megtagadta volna, abban az esetben a Kérelmezett bizonyítani tudta volna, hogy az adatkimentés megtörtént, mivel a logfájlokból látható lett volna, hogy a Kérelmező belépett a számítógépbe. Mivel a Kérelmező együttműködő volt, ezért a Kérelmezett úgy ítélte meg, hogy már nem volt érdeke és jogalapja sem a logfájlok megőrzésére. I.12. A Kérelmezett a Hatóság NAIH/2019/19. számú végzésére adott nyilatkozatában kérte, hogy a Kérelmezőt a Hatóság kötelezze eljárási bírság megfizetésére hivatkozással az Ákr. 64. § (2) bekezdésére hivatkozással, mivel a Kérelmezett álláspontja szerint „az eljárás során tett nyilatkozatai nem vitték előrébb az eljárást, ugyanakkor a bizonyítékokat mellőző nyilatkozataival további indokolatlan felhívásokat generált, amely az eljárás indokolatlan elhúzódához vezetett.“ I.13. A Hatóság a NAIH/2019/1360/21. sz. végzésével a [...] alapján elkészített [...] szabályzatának [...] pontjában hivatkozott adatbiztonsági szabályzatának, illetve egyéb olyan szabályzatának a becsatolását kérte, melyekből a Kérelmezett naplózási eljárásrendje, továbbá a naplóbejegyzések tartalmával, naplóbejegyzések őrzési idejével kapcsolatos belső szabályai, előírásai megállapíthatók. A Hatóság annak érdekében kereste meg a Kéremezettet, hogy ellenőrizni tudja, nem volt-e olyan belső szabályozása, amely alapján a kérelem ezen részének eldöntéséhez szükséges log adatok tárolási kötelezettségét írta volna elő a Kérelmezett számára. A Kérelmezett a fenti felhívásra adott válaszában tájékoztatta a Hatóságot, hogy „a belső adatvédelmi szabályzata nem tartalmaz a jelen adatvédelmi hatósági eljárás tárgyával összefüggő körülményre rendelkezést“, „továbbá indokolatlan az adatbiztonsági szabályzatban foglaltak viszgálata, hiszen a kérelmező kérelmének a teljesítése már bizonyítottan megtörtént“. A Hatóság a tényállás tisztázása során szükségesnek tartotta azt, hogy megismerje a Kérelmezett adatbiztonsági szabályzatát, azonban annak megismerése után megállapította, hogy az az ügy elbírálása szempontjából nem tartalmaz releváns rendelkezéseket.

A Kérelmezett a nyilatkozatában kérte a hatósági eljárás megszüntetését, továbbá a Kérelmezőnek a Kérelmezett eljárási költségeiben – azaz mindösszesen 12. 400 Ft összegbenvaló marasztalását.

## II. Alkalmazandó jogszabályi előírások

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni. Az általános adatvédelmi rendelet 4. cikk 2. pont „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja alapján a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. Az általános adatvédelmi rendelet (39) preambulumbekezdése szerint a természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogyan tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az általános adatvédelmi rendelet 5. cikk (2) bekezdése értelmében az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”). Az általános adatvédelmi rendelet 15. cikk (3) bekezdése alapján az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. Az általános adatvédelmi rendelet 17. cikk (1) bekezdése alapján az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen;

d) a személyes adatokat jogellenesen kezelték; e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;

f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

Az általános adatvédelmi rendelet 17. cikk (2) bekezdése alapján ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket - ideértve technikai intézkedéseket - annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

Az általános adatvédelmi rendelet 17. cikk (3) bekezdése alapján az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából; b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;

c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján;

d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez. A Hatóság az Infotv. 61. § (1) bekezdés a) pontjára tekintettel az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerinti jogkövetkezményeket alkalmazhatja. A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed. Az Infotv. 38. § (2) bekezdés szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. Az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 112. §a, 16. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak. Ákr. 46. § [A kérelem visszautasítása] (1) A hatóság a kérelmet visszautasítja, ha a) az eljárás megindításának jogszabályban meghatározott feltétele hiányzik, és e törvény ahhoz más jogkövetkezményt nem fűz, vagy b) az ugyanazon jog érvényesítésére irányuló kérelmet a bíróság vagy a hatóság érdemben már elbírálta, és a kérelem tartalma, valamint az irányadó jogi szabályozás nem változott. Az Ákr. 6. § (1)-(3) bekezdéseinek rendelkezései alapján az eljárás valamennyi résztvevője köteles jóhiszeműen eljárni és a többi résztvevővel együttműködni. Az általános adatvédelmi rendelet 31. cikke szerint az adatkezelő és az adatfeldolgozó feladatai végrehajtása során a felügyeleti hatósággal – annak megkeresése alapján – együttműködik. Az általános adatvédelmi rendelet 5. cikk (2) bekezdése értelmében az adatkezelő felelős azért, hogy adatkezelése megfeleljen az adatvédelmi alapelveknek, és képesnek kell lennie e megfelelés igazolására Az Ákr. 62. § (1) bekezdése szerint, ha a döntéshozatalhoz nem elegendőek a rendelkezésre álló adatok, a hatóság bizonyítási eljárást folytat le. Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel.

Az Ákr. 64. § (2) bekezdés értelmében, ha az ügyfél vagy képviselője más tudomása ellenére az ügy szempontjából jelentős adatot valótlanul állít vagy elhallgat – ide nem értve, ha a tanú nem hallgatható meg vagy a tanúvallomást az Ákr. 66. § (3) bekezdés b) és c) pontjában meghatározott okból megtagadhatja –, eljárási bírsággal sújtható. Az Ákr. 65. § (1) és (2) bekezdése alapján a hatóság, ha a tényállás tisztázása során szükséges, és az az Eüsztv. alapján nem szerezhető be, felhívhatja az ügyfelet okirat vagy más irat bemutatására. Az általános adatvédelmi rendelet 58. cikk (1) bekezdése szerint a felügyeleti hatóság vizsgálati hatáskörében eljárva – egyebek mellett – az adatkezelőtől a feladatai elvégzéséhez szükséges tájékoztatást kérhet, és a felügyeleti hatóság számára az adatkezelő köteles hozzáférést adni a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz. Az Ákr. 66. § (3) bekezdésének jelen ügyben releváns rendelkezése alapján a nyilatkozattétel akkor tagadható meg, ha az ügyfél nyilatkozatával saját magát vagy hozzátartozóját bűncselekmény elkövetésével vádolná vagy a sajtószabadságról és a médiatartalmak alapvető szabályairól szóló törvény szerinti médiatartalom-szolgáltató (a továbbiakban: médiatartalom-szolgáltató), vagy vele munkaviszonyban vagy munkavégzésre irányuló egyéb jogviszonyban álló személy – a jogviszonya megszűnése után is –, és a nyilatkozatával a számára a médiatartalom-szolgáltatói tevékenységgel összefüggésben információt átadó személy kilétét felfedné. Az Ákr. 77. §-ában foglaltak alapján azt, aki a kötelezettségét önhibájából megszegi, a hatóság az okozott többletköltségek megtérítésére kötelezi, illetve eljárási bírsággal sújthatja. Az eljárási bírság legkisebb összege esetenként tízezer forint, legmagasabb összege – ha törvény másként nem rendelkezik – természetes személy esetén ötszázezer forint, jogi személy vagy egyéb szervezet esetén egymillió forint azzal, hogy az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és 83. cikke alapján a Hatóság az 58. cikk (1) bekezdésében előírt hozzáférés-biztosítási kötelezettség megsértése esetén legfeljebb 20 000 000 EUR vagy – vállalkozás esetében, ha az magasabb – az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4 %-át kitevő összegű bírsággal sújthatja az adatkezelőt, illetve az adatfeldolgozót az eset összes releváns körülményének mérlegelése alapján.

## III. A Hatóság döntései

III.1. Eljárási kérdések III.1.1. A kérelem visszautasításának nem volt helye, mivel a Kérelmezett által hivatkozott, és becsatolt […] sz. végzés a Kérelmező által kezdeményezett sérelemdíj megállapítása iránti eljárás megindításáról szól, tehát azt támasztja alá, hogy a Kérelmezett nyilatkozatának megtétele időpontjában folyamatban volt a bírósági eljárás. Emiatt a Hatóság megvizsgálta, hogy az Ákr. 48. § (1) bekezdés a) pontja szerinti felfüggesztési feltétel fennáll-e. Az Ákr. 48. § (1) bekezdés a) pontja szerinti előkérdés esete nem áll fenn. A Hatóság az Ákr. 48. § (1) bekezdés a) pontra hivatkozással csak abban az esetben függesztheti fel az eljárását, ha megalapozott döntés az előkérdés elbírálása nélkül nem hozható. Jelen ügyben az adatvédelmi hatósági eljárás tárgya olyan kérdés, mely a Hatóság hatáskörébe tartozik, tekintettel az Infotv. 38. § (2) bekezdésére, ezért az eljárás felfüggesztése nem volt indokolt, mivel a Hatóság a személyes adatokat érintő kérdésekben hatáskörrel rendelkezik, tehát nem az az eset áll fenn, hogy olyan előkérdést kellett volna elbírálni, amiben a Hatóság nem rendelkezik döntési jogosultsággal. A sérelemdíj kérdésében a bíróság jogosult dönteni, de ez nem tekinthető az adatvédelmi hatósági ügy előkérdésének.

III.1.2. Az Ákr. 47. § (1) bekezdés c) pontjára hivatkozással, miszerint az eljárás okafogyottá vált, az eljárás nem került megszüntetésre, mivel a kérelem benyújtásakor a Kérelmező által kifogásolt adatkezelés még fennállt, továbbá a kérelem nem kizárólag a személyes adatai törlésének elrendelésére, továbbá a hozzáférési kérelme teljesítésére irányult, hanem a Kérelmező a jogellenes adatkezelés megállapítását is kérte, ezért a kérelem erre vonatkozó részét a törlés és a hozzáférés biztosítása után érdemben el kellett bírálnia a Hatóságnak. III.2. Kérelmező személyes adatainak harmadik személy számára történt jogosulatlan megismerhetővé tétele A Kérelmező állítása szerint a számítógépen tárolt személyes adatai harmadik személy számára is megismerhetővé váltak, ezért a Hatóság tényállás tisztázása során ezzel kapcsolatban tájékoztatást, továbbá logfájlok becsatolását kérte a Kérelmezettől. A Kérelmezett nyilatkozataiban arról tájékoztatta a Hatóságot, hogy a Kérelmezett részére visszaszolgáltatott informatikai eszköz el volt különítve, ezért illetéktelenek nem férhettek hozzá, továbbá azt is hangsúlyozta, hogy csak a Kérelmező jelenlétében léptek be a számítógépbe, először akkor, amikor az érintett kérelmét azért nem sikerült teljesíteni, mert nem együttműködő magatartást tanúsított, és ahhoz ragaszkodott, hogy az adatkimentést saját maga végezhesse. Második alakalmommal 2019. március 1. napján léptek be a számítógépbe, amikor sikeresen teljesítették a Kérelmező kérelmét. A munkaállomás adatainak archiválását [...] esetében jogszabály nem teszi kötelezővé, illetve ilyen feladatot, kötelezettséget maga a Kérelmezett belső szabályzatai sem tartalmaznak. A hozzáférési és törlési kérelem teljesítését követő törlés a kérelem ezen része megalapozottságának feltárását lehetetlenné tette, mivel a Kérelmezett a számítógép használatára vonatkozó logfájlokat törölte, és a törlés megakadályozta ezzel kapcsolatban a tényállás teljes körű feltárását. A logfájlokra vonatkozó törlést a Kérelmezett annak ellenére hajtotta végre, hogy azok megőrzésére jogos érdek jogalappal rendelkezhetett, továbbá a folyamatban levő adatvédelmi hatósági eljárásban ez szükséges lett volna. A fentiek miatt a tényállás tisztázása során nem nyert bizonyítást a Kérelmező jogosulatlan hozzáféréssel kapcsolatos állítása, ezért a Hatóság bizonyítékok hiányában nem állapíthatja meg azt, hogy megtörtént a jogosulatlan hozzáférés a Kérelmező személyes adataihoz, ezért a Hatóság elutasítja a Kérelmező ezen kérelmét. III.3. Érintetti kérelem gyakorlásának elősegítése, hozzáféréshez és törléshez való jog sérelmének kérdése A Kérelmező általános adatvédelmi rendelet 15. cikk (3) bekezdése és az általános adatvédelmi rendelet 17. cikk alapján benyújtott érintetti kérelmeire a Kérelmezett az általános adatvédelmi rendelet 12. cikk (3) bekezdésének megfelelően – egy hónapos határidőn belül - válaszleveleket küldött. A Kérelmezett – az első és a második alkalommal előterjesztett érintetti kérelmeire írt válaszlevelében tájékoztatta a Kérelmezőt, hogy teljesíti a kérelmét, amennyiben adatvédelmi nyilatkozatot ír alá. A kérelem teljesítését úgy kívánta végrehajtani a Kérelmezett, hogy az informatikusa a Kérelmező jelenlétében megtekinti az informatikai eszközt, és a Kérelmezett kérelmének megfelelő műveleteket hajt végre az azon található személyes adatokon. A Kérelmezett állítása szerint a Kérelmező ebbe nem egyezett bele, mert ragaszkodott ahhoz, hogy az informatikus közreműködése nélkül gyakorolhassa az érintetti jogait. A Hatóság rendelkezésére bocsátott, a Kérelmezett által hivatkozott adatvédelmi nyilatkozat aláírásával a Kérelmező hozzájárulását adta volna ahhoz, hogy a korábban a kizárólagos használatára adott számítástechnikai eszközön tárolt személyes adatokat a munkáltató informatikusa megismerheti annak érdekében, hogy az érintetti joggyakorlásának eleget tudjon tenni. Tekintettel arra, hogy a Kérelmező a személyes adatait a munkáltatója informatikai eszközén tárolta úgy, hogy erre kifejezett engedélyt nem kapott, ezért a személyes adatait annak tudatában kellett az eszközre feltöltenie, hogy az eszköz esetleges azonnali hatályú visszaszolgáltatása esetén a személyes adataihoz más személyek közreműködésével férhet hozzá. Mivel az érintetti kérelmek kitűzött időpontjában történő teljesítésekor a Kérelmező már nem állt munkaviszonyban a Kérelmezettel, és a megszűnt munkaviszonyra tekintettel kellett az informatikai eszközt visszaszolgáltatnia, ezért a Hatóság nem tartja kifogásolhatónak azt, hogy a munkáltató tulajdonában levő eszközről csak a munkáltató által feljogosított személy által férhet a Kérelmező a személyes adataihoz. A Hatóság álláspontja szerint a Kérelmezett által kért nyilatkozat a Kérelmező számítástechnikai eszközön tárolt személyes adatainak szükségszerű megismeréséhez nem volt szükséges, mert annak kitöltése az adott helyzetben nem alapozta volna meg a jogszerű megismerést, adatkezelést, a hozzájárulás önkéntességének hiánya miatt a jelen helyzetben a Kérelmezett jogos érdeke alapján ismerhette meg a Kérelmezett informatikusa a munkáltató eszközén található személyes adatokattermészetesen csak a feltétlenül szükséges mértékben. Azt hangsúlyozni kell, hogy a Kérelmezett mint munkáltató jogos érdeke nem kifejezetten arra vonatkozik, hogy megismerje a volt munkavállaló személyes adatait, hanem arra, hogy a tevékenységével kapcsolatos adatok, titkok a birtokában maradjanak. A számítástechnikai eszközön tárolt, munkavégzéssel kapcsolatos adatok és a munkavállaló személyes adatainak elkülönítése érdekében sokszor nélkülözhetetlen az eszköz teljes átvizsgálása, melynek eredménye lehet az azon tárolt személyes adatok megismerése is. A számítógép említett átvizsgálása során megfelelő garanciákat nyújtott a Kérelmezett, mivel azt csak informatikus végezhette el és csak a Kérelmező jelenlétében tehette meg. A fentiek alapján a Hatóság megállapítja, hogy a Kérelmezett nem sértette meg az általános adatvédelmi rendelet 12. cikk (2) bekezdésében írtakat, mivel a Kérelmezett elősegítette az érintett hozzáférési és törlési jogának gyakorlását, a Kérelmező hozzáféréshez és törléshez való jogát nem akadályozta, mert az általa támasztott feltételek nem voltak túlzók, hanem indokoltak voltak az adott körülmények között, az elszámoltathatóság elvének való megfelelés érdekében. Ezért a Kérelmező kérelmének erre vonatkozó részét a Hatóság elutasítja. A Jegyzőkönyvből megállapítást nyert, hogy a Kérelmezett teljesítette 2019. március 01. napján a Kérelmező hozzáféréshez és a törléshez való joga alapján benyújtott érintetti kérelmeit, tekintettel arra, hogy a Kérelmező személyes jelenlétében a Kérelmezett informatikusa belépett a korábban visszavett számítástechnikai eszközbe, és másolatot készített a Kérelmező személyes adatairól, melyet átadott a Kérelmezőnek, majd törölte azokat az informatikai eszközről.

## IV. Egyéb kérdések

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az egész ország területére kiterjed. Az Ákr. 112. §-a, és a 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdése alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. Kp. 39. § (6) bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet. A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek. Budapest, 2020. március 19. Dr. Péterfalvi Attila elnök c. egyetemi tanár