Орган по защите данных Венгрии: обработка уголовных персональных данных частным обвинителем

………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

H A T Á R O Z A T

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] kérelmező (lakcím: […]; a továbbiakban: Kérelmező) a bűnügyi személyes adatainak […] (lakcím: […]; a továbbiakban: Kérelmezett) általi jogellenes továbbítása tárgyában benyújtott, a Hatósághoz 2021. február 23-án érkezett, 2021. július 6-án kiegészített kérelme nyomán indult adatvédelmi hatósági eljárásban a Hatóság az alábbi döntéseket hozza:

I. A Hatóság a Kérelmező kérelmeinek helyt ad és megállapítja, hogy a Kérelmezett

I.1. megsértette a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, az Európai Parlament és a Tanács 2016/679. számú rendelete (a továbbiakban: GDPR) 5. cikk (1) bekezdés a) pontja szerinti jogszerű és tisztességes adatkezelés elvét; I.2. megsértette a GDPR 5. cikk (1) bekezdés b) pontja szerinti célhoz kötött adatkezelés elvét; I.3. megsértette a GDPR 6. cikk (1) bekezdését és a 9. cikk (1) bekezdését. II. A Hatóság hivatalból, az I. pontban megállapított jogsértések miatt a Kérelmezettet

300.000 Ft, azaz háromszázezer forint adatvédelmi bírság megfizetésére kötelezi a jelen határozat véglegessé válásától számított 30 napon belül

A jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy irataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I. Az eljárás menete

(1) A Kérelmező meghatalmazással igazolt képviselője, […] postai úton adatvédelmi hatósági eljárás iránti kérelmet terjesztett elő, amely 2021. február 23-án érkezett a Hatósághoz.

(2) A Kérelmező az adatvédelmi hatósági eljárás iránti kérelmében kérte a Hatóságot, hogy állapítsa meg, hogy a Kérelmezett a Kérelmező bűnügyi személyes adatainak 2021. január 6-án, illetve a kérelem kiegészítése alapján 2021. június 11-én illetéktelen személyek részére történő megküldésével, illetve hozzáférhetővé tételével jogellenes adatkezelést valósított meg, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontját, illetve a 9. cikk (1)-(2) bekezdéseiben foglaltakat. A Kérelmező kérte továbbá, hogy a Hatóság a bűnügyi személyes adatok illetéktelen személyek

Ügyszám: NAIH- 2868-23/2021. Tárgy: kérelemnek helyt adó határozat részére történő megküldésével, illetve hozzáférhetővé tételével megvalósult jogellenes adatkezelés miatt a Kérelmezettel szemben a jogsértés súlyával arányban álló adatvédelmi bírságot szabjon ki.

(3) A Hatóság a NAIH-2868-2/2021. számú, 2021. március 12-én kelt végzésében értesítette a Kérelmezettet, hogy a Kérelmező kérelme alapján az általa végzett adatkezelés jogszerűségének vizsgálatára adatvédelmi hatósági eljárás indult, és a tényállás tisztázása érdekében nyilatkozattételre hívta fel. A Kérelmezett a Hatóság végzését 2021. március 26-án vette át.

(4) A Hatóság ezzel egyidőben a tényállás tisztázása érdekében szükségesnek tartotta, hogy az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény 25. § (1) bekezdés b) pontja alapján megkereséssel forduljon a Pesti Központi Kerületi Bírósághoz (a továbbiakban: PKKB), illetve a […] (a továbbiakban: […][Társaság]). A [Társaság] nyilatkozata 2021. április 1-jén, a PKKB nyilatkozata 2021. április 15-én érkezett a Hatósághoz.

(5) A Kérelmezett 2021. március 30-án kelt, a Hatóság székhelyén 2021. április 1-jén személyesen leadott nyilatkozatában – NAIH-2868-6/2021. – kérte az utónevén kívül a személyes adatai zártan kezelését, mivel nyilatkozata szerint ekkor még nem tudta, hogy ki az eljárásban a kérelmező ügyfél. A Kérelmezett ugyanezen beadványában iratbetekintési kérelemmel is fordult a Hatósághoz. A Kérelmezett ezen, a NAIH-2868- 6/2021. számon iktatott beadványán kívül 2021. április 1-jén egy másik beadványt is benyújtott személyesen a Hatósághoz – NAIH-2868-7/2021.–, amelyben a Hatóság által a tényállástisztázó végzésében a nyilatkozattételre biztosított határidő meghosszabbítását kérte oly módon, hogy a 15 napos határidő az iratbetekintési kérelme alapján a rendelkezésére bocsátott dokumentumok másolata átvételének napján induljon, továbbá a személyes adatai zártan kezelésére vonatkozó kérelmét visszavonta.

(6) A Hatóság a NAIH-2868-9/2021. számon végzést hozott a Kérelmezett iratbetekintési jogának korlátozásáról tekintettel arra, hogy a [Társaság] beadványának egyik melléklete a [Társaság] nyilatkozata szerint az üzleti titkát képezte, ezért a Hatóság ahhoz nem biztosíthatott hozzáférést a Kérelmezett számára. Ezen túlmenően azonban minden más, az ügyben keletkezett, nem tőle érkezett vagy nem a részére küldött irat másolatát a Kérelmezett rendelkezésére bocsátotta. A Kérelmezett az iratbetekintési jogát korlátozó végzéssel szemben nem élt jogorvoslattal.

(7) A Hatóság a Kérelmezett határidő hosszabbítási kérelmét a NAIH-2868-10/2021. számú,

2021. április 19-én kelt végzésével elutasította.

(8) A Kérelmezett tényállástisztázó végzésre adott nyilatkozata e-mailben 2021. május 6-án érkezett a Hatósághoz, majd azt a Kérelmezett személyesen is benyújtotta a Hatóság székhelyén 2021. május 11-én.

(9) A Kérelmező jogi képviselője útján 2021. július 6-án kiegészítette az adatvédelmi hatósági eljárás iránti kérelmét, mivel a kérelem Hatósághoz való benyújtását követően a Kérelmezett a Kérelmező sérelmére újabb, a korábban kifogásolt magatartással jellegét tekintve egyező cselekményt valósított meg 2021. június 11-én. Ebből kifolyólag kérte, hogy a Hatóság a korábban alkalmazni kért jogkövetkezményeket ezen adatkezelési tevékenység kapcsán is alkalmazza.

(10) A Hatóság a NAIH-2868-13/2021. számú, 2021. július 22-én kelt végzésében értesítette a Kérelmezettet a kérelem kiegészítéséről és a tényállás tisztázása érdekében újabb kérdéseket intézett hozzá. A Kérelmezettnek postai úton elküldött végzést a posta nem kereste jelzéssel látta el 2021. augusztus 11-én, a küldemény 2021. augusztus 13-án érkezett vissza a Hatósághoz.

(11) A Kérelmezett 2021. augusztus 12-én a Hatóság székhelyén személyesen iratbetekintési kérelmet nyújtott be a Hatósághoz, illetve kérte, hogy a Hatóság küldje meg részére újból a NAIH-2868-13/2021. számú végzését, amelyet elmulasztott átvenni, mivel 2021. augusztus 10-én nyilatkozata szerint nem ért oda a postára.

(12) Ezt követően a Hatóság a végzését megkísérlete újból kézbesíteni a Kérelmezett részére, azt 2021. augusztus 25-én újból postára adta, amelyet a Kérelmezett 2021. szeptember 13-án vett át, a második értesítést követő 5. munkanapon.

(13) A Hatóság a Kérelmezett iratbetekintési kérelmének a NAIH-2868-15/2021. számú, 2021.

augusztus 13-án kelt végzésében helyt adott, amelyet a Kérelmezett szintén a második értesítés elhelyezését követő 5. munkanapon vett át 2021. szeptember 6-án, miután aznap személyesen újabb iratbetekintési kérelmet nyújtott be az ügyben a Hatóságnál.

(14) A Kérelmezett a számára az iratbetekintésre biztosított időpontban 2021. szeptember 7én a Hatóság székhelyén megjelent, az eljárás számára megismerhető irataiba betekintett, és másolatot kapott a NAIH-2868-4/2021, NAIH-2868-5/2021 és NAIH-2868- 12/2021. számon iktatott iratokról, továbbá az üggyel összefüggésben nyilatkozatot tett, amely az iratbetekintésről készült jegyzőkönyvben rögzítésre került.

(15) A Kérelmező a NAIH-3868-13/2021. számú végzésében foglalt felhívásnak 2021.

szeptember 29-én, a Hatóság székhelyén személyesen benyújtott nyilatkozatában tett eleget.

(16) A Hatóság a NAIH-2868-19/2021. számú, 2021. október 26-án kelt végzésében értesítette a Kérelmezőt, hogy a bizonyítási eljárást befejezte, az ügyben keletkezett iratokba betekinthet, azokra nyilatkozatot vagy további bizonyítási indítványt tehet. A felhívás alapján a Kérelmező jogi képviselője, […] 2021. november 2-án iratbetekintési kérelmet nyújtott be a Hatósághoz, amelynek a Hatóság a NAIH-2868-21/2021. számú, 2021. november 4-én kelt végzésével helyt adott. A Kérelmező jogi képviselőjének a rendelkezésére bocsátott iratok alapján tett nyilatkozata 2021. november 17-én érkezett a Hatsághoz.

II. Tényállás

(17) A Kérelmezett 2020. április 1-jén kelt feljelentésével magánvádas büntetőeljárást kezdeményezett a Kérelmezővel mint magánszeméllyel szemben – aki a [Társaság] jogtanácsosa – a PKKB előtt. A Kérelmezett a feljelentésében előadta, hogy a Kérelmező a [Társaság] jogtanácsosaként illetéktelenül, ok nélkül adta át az ügy másik két terheltjének „szigorú magántitkát”, amely egy magánlevele volt a […] elnöke és alelnöke felé.

(18) A feljelentés alapján büntetőeljárás indult magántitok megsértése miatt, amely első ízben a […] számon, majd utóbb a […] ügyszámon került iktatásra. A PKKB a büntetőeljárásról szóló 2017. évi XC. törvény 768. § (1) bekezdése alapján személyes meghallgatást tűzött ki, amelyre a Kérelmezőt feljelentettként kísérelte meg idézni. Tekintettel arra, hogy a PKKB nyilvántartásában téves cím szerepelt, az idézés Kérelmező részére történő kézbesítése sikertelen maradt, az „cím nem azonosítható” jelzéssel 2020. december 14én a PKKB-hoz visszaküldésre került. A PKKB a Hatóság megkeresésére mellékelt tértivevény másolata alapján az idézést ismételten megkísérelte kézbesíteni a Kérelmezőnek egy másik címre még 2020. decemberében, azonban az 2021. január 18án nem kereste jelzéssel érkezett vissza a PKKB-hoz.

(19) Ennek kapcsán a Kérelmező hangsúlyozta, hogy a téves címet – […] – a Kérelmezett adta meg a feljelentésében a Kérelmező lakcímeként, holott a feljelentés megtételének időpontjában – 2020. április 1. – a Kérelmező új tartózkodási helyének címét a bárki számára ingyenesen elérhető cégnyilvántartás már tartalmazta, tekintettel arra, hogy a [Társaság] cégmásolata szerint a változás bejegyzésére már 2019. október 23-án sor került. Ebből kifolyólag álláspontja szerint alappal feltételezhető, hogy a Kérelmezett annak ellenére jelölte meg a feljelentésben a Kérelmező lakcímeként a […] címet, hogy tudomással bírt a Kérelmező lakcímének megváltozásáról.

(20) A Kérelmezett nyilatkozata szerint 2021. január 5-én tekintett be az általa kezdeményezett büntetőeljárás irataiba, ahol fényképfelvételt készített a Kérelmezőnek szóló idézésről és a felbontatlan borítékról. Miután a Kérelmezett így tudomást szerzett az idézés Kérelmező részére való kézbesítésének sikertelenségéről, az idézésről és a kézbesítetlen idézést tartalmazó borítékról készített fényképfelvételt 2021. január 6-án 0:40-kor e-mailben elküldte […]-nak – a [Társaság jogi képvieletét rendszeresen ellátó ügyvédi iroda] ügyvédje –, […]-nak – a [Társaság] kamarai jogtanácsosa –, […]-nak – a [Társaság] alkalmazottja –, […]-nak – a [Társaság] igazgatósági elnöke –, […]-nek – a [Társaság] felügyelőbizottságának tagja –, […]-nak – a [Társaság] alkalmazottja –, […]nak – a [Társaság] alkalmazottja –, valamint a […] e-mail címre.

(21) Az idézés bevezető része alapján – „A bíróság magántitok megsértésének vétsége miatt

[…] és társai ellen indított büntetőügyben (…) [Kérelmezőt] feljelentettként idézi.” – az email címzettjei előtt egyértelművé vált, hogy a Kérelmező az idézéssel érintett büntetőügyben terheltként vesz részt. A Kérelmező álláspontja szerint az idézésben foglaltakon túlmenően maga az e-mail is számos, a Kérelmezőre vonatkozó bűnügyi személyes adatot tartalmazott: „[Kérelmezőnek] egy magántitok megsértése miatti büntetőügy terheltjeként a PKKB-n […]-én […]-kor a […] tárgyalóban megjelenési kötelezettsége van.” A Kérelmezett az e-mailben előadta, hogy azon okból küldi a levelet, hogy a Kérelmező „ne tudjon a büntetőjogi felelőssége alól kibújni, illetve ezt meg se kísérelhesse, továbbá a cél az is, hogy az eljárást [a Kérelmező] és a többi [Társaság]hoz kapcsolódó terhelt ne tudja elhúzni.”

(22) A Kérelmező adatvédelmi hatósági eljárás iránti kérelmében előadott nyilatkozata szerint a […] e-mail cím a [Társaság] központi e-mail címe, ezért ahhoz 142 fő fér hozzá tudomása szerint. A [Társaság] a Hatóság megkeresésére a 2021. március 29-én kelt nyilatkozatában arról tájékoztatta a Hatóságot, hogy a nyilatkozattétel időpontjában a […] e-mail címhez 147-en fértek hozzá, amely létszám változó. A Kérelmező nyilatkozata szerint 2021. július 5-én a hozzáféréssel rendelkezők száma 216 fő volt. Az e-mail fiókhoz hozzáférnek […] tanácsadók, panaszkezelő munkatársak, […] munkatársak, stb. Ezzel szemben a Kérelmezett úgy véli, hogy az e-mail fiókhoz csak ketten férnek hozzá, azonban ezen állítását semmivel nem támasztotta alá.

(23) A Kérelmezett álláspontja szerint a Kérelmező nevén és címén kívül más személyes adatát nem küldte meg [Társaság] központi e-mail címére, továbbá kifejtette, hogy a továbbított személyes adatok ismertek voltak a [Társaság] előtt, valamint a PKKB ülései is nyilvánosak.

(24) A Kérelmezett nyilatkozata szerint az adattovábbítás célja az volt, hogy Kérelmező biztosan megjelenjen a […]-ére kitűzött tárgyaláson, és az ügy ne húzódjon el. A Kérelmezett nem rendelkezik a Kérelmező e-mail címével – nyilatkozata szerint több variációt is megpróbált – ezért nem tudta számára közvetlenül megküldeni az idézésről készített fényképet. A Kérelmezett nyilatkozata szerint a Kérelmező tárgyaláson való megjelenése csak az ő levelének volt köszönhető. Ennek alátámasztására csatolta a 2021. január 11-én tartott személyes meghallgatásról készült jegyzőkönyvet, amely szerint a Kérelmező úgy nyilatkozott, hogy „az idézést nem kaptam meg, de a sértett tájékoztatott az ülésről.”

(25) Kifejtette továbbá, hogy az e-mail egy üzenet is volt a [Társaság] számára, az „panaszként is szolgált és ébresztőt fújtam a [Társaság]nak, hogy el kell kezdeniük törvényesen működni. A másik cél [a Kérelmező] megjelenése volt a PKKB-n. Mindkét cél teljesült.” A Kérelmező emellett előadta, hogy a levele panasz célt is szolgált, ezért jogszerűen küldte meg a levelét a […] e-mail címre, amely a [Társaság] hivatalos panaszkezelési e-mail címe.

(26) A Kérelmezett 2020. szeptember 11-én kelt feljelentésével a Kérelmezővel szemben újabb magánvádas büntetőeljárást kezdeményezett a PKKB-nál magántitok megsértése miatt, amely első ízben az […] számon, majd […] számon került iktatásra. A PKKB ebben az ügyben szintén személyes meghallgatást tűzött ki, amelyre a Kérelmezőt feljelentettként kísérelte meg idézni. A Kérelmezett a korábbi esethez hasonlóan, amikor tudomást szerzett az idézés kézbesítésének sikertelenségéről, a saját magának szóló idézést, valamint a szintén a személyes meghallgatásra idézett tolmácsnak szóló idézést – amelyekből a Kérelmező állápontja szerint egyértelműen kitűnik, hogy a Kérelmezett által kezdeményezett büntetőeljárás a Kérelmezővel szemben indult meg – 2021. június 11-én 08.28-kor e-mail útján harmadik személyeknek megküldte. A címzettek a következők voltak: […], a [Társaság] igazgatósági elnöke; […], […], […] és […], a [Társaság] alkalmazottai; […], a [Társaság] kamarai jogtanácsosa és […], a Társaság felügyelőbizottsági tagja. Ezen elektronikus levelét a Kérelmezett elküldte továbbá a [Társaság] központi e-mail címére is, a […] címre.

(27) A Kérelmező álláspontja szerint ebben az esetben is egyértelmű volt az idézések bevezető részei alapján – „A bíróság magántitok megsértésének vétsége miatt [a Kérelmező] és társai ellen indított büntetőügyben” – hogy a Kérelmező az idézéssel érintett büntetőügyben terheltként vesz részt. Emellett a Kérelmező álláspontja szerint a csatolmányként küldött idézésen túlmenően az e-mail szövege is tartalmazott a Kérelmezőre vonatkozó bűnügyi személyes adatot, miszerint „[…]”

(28) A Kérelmezett előadta a 2021. június 11-én írt elektronikus levele kapcsán, hogy azzal a céllal küldte meg az idézést az e-mail címzettjeinek, hogy a Kérelmező a személyes meghallgatáson megjelenjen, mivel a Kérelmező soha nem veszi át a hivatalos címén az idézését. Álláspontja szerint a Kérelmező minden bírósági eljárást szabotál azzal, hogy szándékosan nem veszi át az idéző végzéseket, míg neki magánvádlóként az a célja, hogy „ezt […]” megelőzze, és hogy megjelenési kötelezettségéről ily módon tájékoztassa a Kérelmezőt.

(29) A Hatóság azon kérdéseire, hogy milyen célból és milyen jogalapon kezelte a Kérelmező büntetőügyekkel kapcsolatos személyes adatait, úgy nyilatkozott, hogy nem adatkezelő.

(30) A Kérelmezett az iratbetekintési jogának gyakorlása során tett, a NAIH-2868-17/2021.

számú jegyzőkönyvbe felvett nyilatkozatában kérte az adatvédelmi hatósági eljárás soron kívüli megszüntetését tekintettel arra, hogy a Kérelmező nem fordult hozzá semmilyen „adatvédelmi kérelemmel”, holott az álláspontja szerint a kérelemre indult adatvédelmi hatósági eljárás megindításának az előfeltétele.

(31) Kérte továbbá az eljárás megszüntetését amiatt is, hogy az adatkezelése nem lépett túl a személyes célon, az e-mail küldés nem haladta meg a személyes tevékenységét. Továbbá álláspontja szerint az adatkezelésére az Infotv. szabályai vonatkoznak, tekintettel arra, hogy a fenti büntetőügyekben magánvádlóként jár el, ezzel szemben a Kérelmező a GDPR rendelkezéseinek megállapítását kéri a Hatóságtól. Megjegyezte továbbá, hogy álláspontja szerint a Hatóság a jelen eljárással az Infotv.-be ütközően tisztességtelenül avatkozik bele a büntetőeljárásokba.

(32) A Kérelmezett a 2021. szeptember 28-án kelt nyilatkozatában megismételte továbbá az eljárás megszüntetésére vonatkozó kérelmét, melyben a megszüntetés okaként a fentieken kívül hivatkozott továbbá arra, hogy az általa elküldött e-mail nem tartalmazott a Kérelmezőről személyes adatokat, a neve pedig mindenki előtt ismert volt.

(33) Ezen túlmenően álláspontja szerint azért is helye van az eljárás megszüntetésének, mert ő magánszemély, nem adatkezelő, nincs adatkezelési tájékoztatója, tehát sem a GDPR, sem az Infotv. rendelkezései nem vonatkoznak rá.

III. Alkalmazott jogszabályok

GDPR (18) preambulumbekezdés: Ez a rendelet nem alkalmazandó a személyes adatoknak a természetes személy által kizárólag személyes vagy otthoni tevékenység keretében végzett kezelésére, amely így semmilyen szakmai vagy üzleti tevékenységgel nem hozható összefüggésbe. Személyes vagy otthoni tevékenységnek minősül például a levelezés, a címtárolás, valamint az említett személyes és otthoni tevékenységek keretében végzett, közösségi hálózatokon törté ő kapcsolattartás és online tevékenységek. E rendeletet kell alkalmazni azonban azokra az adatkezelőkre és adatfeldolgozókra, akik a személyes adatok ilyen személyes vagy otthoni tevékenység keretében végzett kezeléséhez az eszközöket biztosítják.

GDPR 2. cikk (1) bekezdés és (2) bekezdés c) és d) pont: (1) E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

(2) E rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt:

c) természetes személyek kizárólag személyes vagy otthoni tevékenységük keretében végzik, d) az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését. GDPR 4. cikk 2. pont: „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;

GDPR 4. cikk 9. pont: „címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak;

GDPR 4. cikk 10. pont: „harmadik fél”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;

GDPR 5. cikk (1) bekezdés a)-b) pont: A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”); GDPR 6. cikk (1) bekezdés: A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;

b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;

c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;

d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;

e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;

f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

GDPR 9. cikk (1)-(2) bekezdés: (1) A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.

(2) Az (1) bekezdés nem alkalmazandó abban az esetben, ha a) az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez, kivéve, ha az uniós vagy tagállami jog úgy rendelkezik, hogy az (1) bekezdésben említett tilalom nem oldható fel az érintett hozzájárulásával;

b) az adatkezelés az adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése és konkrét jogai gyakorlása érdekében szükséges, ha az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi;

c) az adatkezelés az érintett vagy más természetes személy létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi cselekvőképtelensége folytán nem képes a hozzájárulását megadni;

d) az adatkezelés valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő garanciák mellett végzett jogszerű tevékenysége keretében történik, azzal a feltétellel, hogy az adatkezelés kizárólag az ilyen szerv jelenlegi vagy volt tagjaira, vagy olyan személyekre vonatkozik, akik a szervezettel rendszeres kapcsolatban állnak a szervezet céljaihoz kapcsolódóan, és hogy a személyes adatokat az érintettek hozzájárulása nélkül nem teszik hozzáférhetővé a szervezeten kívüli személyek számára;

e) az adatkezelés olyan személyes adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott;

f) az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el;

g) az adatkezelés jelentős közérdek miatt szükséges, uniós jog vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő;

h) az adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból, a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása, illetve egészségügyi vagy szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés értelmében, továbbá a (3) bekezdésben említett feltételekre és garanciákra figyelemmel;

i) az adatkezelés a népegészségügy területét érintő olyan közérdekből szükséges, mint a határokon át terjedő súlyos egészségügyi veszélyekkel szembeni védelem vagy az egészségügyi ellátás, a gyógyszerek és az orvostechnikai eszközök magas színvonalának és biztonságának a biztosítása, és olyan uniós vagy tagállami jog alapján történik, amely megfelelő és konkrét intézkedésekről rendelkezik az érintett jogait és szabadságait védő garanciákra, és különösen a szakmai titoktartásra vonatkozóan;

j) az adatkezelés a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból szükséges olyan uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő.

GDPR 77. cikk (1) bekezdés: Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

Az Infotv. 2. § (2)-(4) bekezdés: Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III-V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1)-(2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §ban, a 75. § (1)-(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.

(3) Személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére e törvényt kell alkalmazni.

(4) Személyes adatoknak a (2) és (3) bekezdés hatálya alá nem tartozó kezelésére a) az általános adatvédelmi rendelet 4. cikkében, II-VI., és VIII-IX. fejezetében, valamint b) az e törvény III-V. és VI/A. Fejezetében, továbbá a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1) és (2) bekezdésében, az 56- 60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében és az 1. mellékletben meghatározott rendelkezéseket kell alkalmazni.

Infotv. 3. § 4. pont: bűnügyi személyes adat: a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat;

Infotv. 5. § (7) bekezdés: Bűnügyi személyes adatok kezelése esetén - ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik - a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni.

Az Infotv. 60. § (1) és (2) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít. Az adatvédelmi hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. Az adatvédelmi hatósági eljárás megindítása iránti kérelem a GDPR 77. cikk (1) bekezdésében meghatározott esetben nyújtható be.

A büntetőeljárásról szóló 2017. évi XC. törvény (a továbbiakban: Be.) 37. §: A büntetőeljárásban a terhelt, a bűncselekmény elkövetésével megalapozottan gyanúsítható személy, a védő, a sértett, a magánvádló, a pótmagánvádló, a magánfél, a vagyoni érdekelt, az egyéb érdekelt és törvényben meghatározottak szerint az eljárás alá vont jogi személy vesz részt.

Be. 39. § (3) bekezdés a) pont: A terhelt köteles a) az eljárási cselekményeken a bíróság, az ügyészség és a nyomozó hatóság rendelkezéseinek megfelelően az e törvényben meghatározottak szerint jelen lenni,

Be. 53. § (1) bekezdés a) pont: A magánvádló az a sértett, a) aki könnyű testi sértés, magántitok megsértése, levéltitok megsértése, rágalmazás, becsületsértés, kegyeletsértés vagy becsület csorbítására alkalmas hamis hang- vagy képfelvétel készítése esetén a vádat képviseli, feltéve, hogy az elkövető magánindítványra büntethető.

Be. 98. § (3) bekezdés: Ha az érintett adatkörre vonatkozó jogszabály másképp nem rendelkezik, a büntetőeljárásban részt vevő személyek az e törvény rendelkezései alapján megismert személyes adatot és védett adatot e törvény szerinti jogaik gyakorlásához vagy kötelezettségeik teljesítéséhez szükséges mértékben és ideig kezelhetik.

Be. 112. § (2) bekezdés: Akit idéznek, köteles az őt idéző bíróság, ügyészség, illetve nyomozó hatóság előtt megjelenni.

Be. 116. § (1) bekezdés a) pont: (1) Ha az idézett az idézés ellenére nem jelenik meg, és ezt előzetesen, mihelyt az akadály a tudomására jut, haladéktalanul nem menti ki, vagy ha ez már nem lehetséges, az akadály megszűnése után nyomban, alapos okkal nem igazolja, a) a terhelt vagy a bűncselekmény elkövetésével megalapozottan gyanúsítható személy elővezetése vagy a nyomozás során a terhelt vagy a bűncselekmény elkövetésével megalapozottan gyanúsítható személy előállítása rendelhető el, és a felsoroltakat az okozott bűnügyi költség megtérítésére kell kötelezni.

Be. 130. § (1) bekezdés: A bíróság, az ügyészség és a nyomozó hatóság az ügyiratát a) postai úton, b) elektronikus úton az E-ügyintézési törvény szerinti hivatalos elérhetőségre, illetve biztonságos elektronikus kapcsolattartásra szolgáló elérhetőségre, c) személyesen, d) hirdetményi úton, vagy e) a bíróság, az ügyészség vagy a nyomozó hatóság kézbesítője útján kézbesíti a címzett részére.

A hitelintézetekről és a pénzügyi vállalkozásokról szóló 2013. évi CCXXXVII. törvény (a továbbiakban: Hpt.) 288. § (1) bekezdés: A pénzügyi intézmény és a független közvetítő biztosítja, hogy az ügyfél a pénzügyi intézmény és a független közvetítő magatartására, tevékenységére vagy mulasztására vonatkozó panaszát szóban (személyesen, telefonon) vagy írásban (személyesen vagy más által átadott irat útján, postai úton, telefaxon, elektronikus levélben) közölhesse. A panaszkezelésre vonatkozó szabályokat alkalmazni kell arra a személyre is, aki szolgáltatás igénybevétele céljából lép kapcsolatba pénzügyi intézménnyel, független közvetítővel, de a szolgáltatást nem veszi igénybe.

IV. Döntés

IV.1. A Kérelmező adatkezelői minősége, a kezelt személyes adatok fajtái (34) A Kérelmezett a nyilatkozataiban vitatta, hogy a két e-mail elküldése során személyes adatot kezelt volna, álláspontja szerint az nem tartalmazott bűnügyi személyes adatokat, adatkezelése a magáncélú adatkezelés korlátai között maradt, de ha valósult is meg adatkezelés, akkor arra az Infotv. és nem a GDPR szabályait kell alkalmazni, mert a két ügyben, melyek kapcsán az e-maileket küldte magánvádlóként jár el. Ebből kifolyólag a Hatóság szükségesnek tartja levezetni, hogy történt-e adatkezelés, az a GDPR hatálya alá tartozott-e és milyen adatokra vonatkozott.

(35) A 2021. január 9-én kelt e-mailben szerepelt, hogy a Kérelmezett azért küldi a levelet, hogy a Kérelmező „ne tudjon a büntetőjogi felelőssége alól kibújni” és „az eljárást [a Kérelmező] és a többi [Társasághoz] kapcsolódó terhelt ne tudja elhúzni.” Továbbá arról is tájékoztatta a címzetteket, hogy a Kérelmezőnek „egy magántitok megsértése miatti büntetőügy terheltjeként a PKKB-n […]-én […]kor a […] tárgyalóban megjelenési kötelezettsége van.” A csatolt idézésen szerepel az ügy száma, illetve egyértelműen azonosítható az ügy tárgya – magántitok megsértésének vétsége – valamint a Kérelmező eljárásjogi pozíciója, miszerint feljelentettként idézi a PKKB. A csatolt borítékon szerepelt egy lakcím is, amelyről a PKKB idézése visszaérkezett cím nem azonosítható jelzéssel.

(36) A 2021. június 11-én elküldött e-mail szövegében szerepelt, hogy a Kérelmező nem vette át a „neki, mint terheltnek szóló friss büntetőbírósági végzést, amely személyes megjelenés terhével idézte”, valamint tartalmazta az is, hogy a Kérelmező „terhelt magántitok vétségének ügyében”. Ezen túlmenően, bár a Kérelmezett a saját nevére szóló idézést csatolta a leveléhez, abban szerepel az ügy száma és tárgya, illetve, hogy az büntetőügy a Kérelmező és társai ellen indult.

(37) A Kérelmezett állításával ellentétben a levelei nem csak a Kérelmező nevét és lakcímét tartalmazták, hanem további, a Kérelmezővel kapcsolatba hozható, rá vonatkozó, két vele szemben folyamatban lévő büntetőeljárással kapcsolatos információkat is, úgy mint a büntetőeljárásokban az eljárásjogi pozíciója, a bűncselekmény jellege. Ezek az adatok az Infotv. 3. § 4. pontja szerinti bűnügyi személyes adatnak minősülnek, hiszen azok a büntetőeljárás során keletkezett adatok. A Kérelmezett ezeket az adatokat e-mailben elküldte, továbbította harmadik személyeknek, ezáltal adatkezelést végzett, amelynek kapcsán adatkezelőnek minősül, hiszen ő határozta meg az adatkezelés módját – e-mail küldése – és célját, ami az idézések Kérelmező részére való eljuttatása, illetve a Kérelmező személyes meghallgatáson való megjelenése volt. A Hatóság helytállónak tartja a Kérelmezőnek a kérelme 2.2.3. pontja szerinti hivatkozását, miszerint adatkezelőnek az a személy minősül, aki az adatkezeléssel kapcsolatos tényleges befolyást gyakorolja, a fentiek alapján ez a befolyás a Kérelmezettnél összpontosult, mivel ő döntött a Kérelmező bűnügyi személyes adatainak továbbításáról, és hajtotta azt végre.

(38) Ebből kifolyólag a Kérelmezett adatkezelőnek minősül, amely minőségét nem befolyásolja, hogy természetes személy, hiszen a GDPR 4. cikk 7. pontja szerinti fogalommeghatározás szerint adatkezelő természetes vagy jogi személy is lehet. Ennek kapcsán a Hatóság megjegyzi, hogy a Kérelmezett azon érvelése, hogy többek között azért nem adatkezelő, mert nincs adatkezelési tájékoztatója, nem helytálló, hiszen az adatkezelésről való megfelelő tájékoztatás nyújtása egy olyan kötelezettség, amely az adatkezelői minőségből fakad, nem pedig a tájékoztató megléte vagy annak hiánya teremti meg egy személy adatkezelői minőségét.

IV.2. Az alkalmazandó jogszabály meghatározása, a GDPR tárgyi hatálya (39) Annak megállapítását követően, hogy a Kérelmezett adatkezelőként lépett fel, és adatkezelésének tárgya a Kérelmező bűnügyi személyes adatai voltak, azt kell megvizsgálni, hogy az adatkezelés kapcsán a GDPR, az Infotv. – vagy a Kérelmezett állítása szerint egyik sem – az alkalmazandó jogszabály.

(40) A GDPR 2. cikke határozza meg a rendelet hatályát, valamint az Infotv. 2. § (4)

bekezdése szintén a GDPR-t rendeli alkalmazni azon adatkezelésekre, amelyekre a GDPR hatálya nem terjedne ki a GDPR 2. cikk (1) bekezdésének megfogalmazásából eredően, illetve amelyek nem minősülnek a személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésének. Ez a rendelkezés azonban értelemszerűen nem írja felül a GDPR 2. cikk (2) bekezdésében megfogalmazott, a GDPR hatálya alóli kivételeket.

(41) Az alkalmazandó jogszabály meghatározása kapcsán figyelemmel az Infotv. 2. § (4)

bekezdésére, valamint a GDPR 2. cikk (2) bekezdésére azt is meg kell vizsgálni, hogy a Kérelmezett által végzett adatkezelés tekinthető-e bűnüldözési célú adatkezelésnek, amelyre ő maga hivatkozott – az Infotv. hatálya alá tartozik-e az adatkezelés –, illetve amennyiben nem minősül annak, olyan magáncélú adatkezelésnek minősül-e, amely miatt az nem tartozik a GDPR hatálya alá.

(42) A Kérelmezett azért hivatkozott arra, hogy az adatkezelése az Infotv. hatálya alá tartozik, mert a feljelentései alapján két magánvádas büntetőeljárás is folyamatban van a Kérelmezővel szemben, amelyben ő magánvádlóként jár el. A Be. 51. § (1) bekezdés i) pontja szerint a sértett jogosult arra, hogy magánvádlóként fellépjen. A Be. 37. §-a szerint a sértett, illetve a magánvádlóként fellépő sértett a büntetőeljárás részvevője szemben az ügyészséggel, nyomozóhatósággal, bírósággal. A Be. 762. § (3) bekezdése szerint a magánvádlót a sértett jogain kívül a vád képviseletével járó jogok illetik meg. Az önálló vádképviseleti jogok kizárólag az általa mint sértett által emelt vád tekintetében illetik meg a magánvádlót azzal, hogy az ügyész hatósági jogosítványait nem gyakorolhatja.1 A vád képviselőjeként a magánvádló a magánvádas eljárás Be.-ben szabályozott keretei között rendelkezik a váddal, és tölti be kizárólag ebben a tekintetben az ügyész szerepét. Az ügyész azonban a vád képviseletét a magánvádlótól bármikor át is veheti.

(43) A magánvádló tehát vádat képviselő sértett hatósági jogkörök nélkül. A GDPR 2. cikk (2)

bekezdés d) pontja kifejezetten úgy fogalmaz, hogy az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett adatkezelése nem tartozik a GDPR hatálya alá. Ahogyan arra a Fővárosi Törvényszék a 105.K.707.148/2020/15. számú ítéletének [22] bekezdésében rámutatott, ezt a „szabályt a GDPR kizárólag az illetékes hatóságokra vonatkoztatja, így nem esik e körbe az az adatkezelés, amelynek során a magánváló büntetőeljárás keretében csatol be bizonyítékot a hatóság (ügyészség vagy bíróság) részére.” A jelen ügyben a vizsgált adatkezelés természete nem egyezik meg a hivatkozott ítélet tényállásában foglalttal, azonban a Fővárosi Törvényszék ezen megállapítása a jelen ügyben is releváns.

(44) A fentiek alapján tehát a Kérelmezett által, álláspontja szerint magánvádlói minőségében végzett adattovábbítás nem vonható be a GDPR 2. cikk (2) bekezdés d) pontja szerinti kivételszabály alá.

1 https://birosag.hu/sites/default/files/maganvadas_eljaras.pdf (45) A Hatóságnak ezt követően azt is meg kell vizsgálnia, hogy a Kérelmezett a Kérelmező által kifogásolt adatkezelést személyes vagy otthoni tevékenysége keretében végezte-e. A személyes tevékenység körében végzett adatkezelés szűken értelmezendő, az csak és kizárólag akkor eshet kívül az adatvédelmi szabályozás körén, ha az kizárólag magáncélt szolgál. Abban az esetben már nem tekinthető magáncélúnak az adatkezelés, ha a cél túlmegy a magánjellegű felhasználáson, az „a magánszférán kívülre irányul”, ahogyan a C-212/13. ítélet 33. pontjában fogalmazott az Európai Unió Bírósága. A Hatóság álláspontja szerint az, hogy ha egy magánvádas büntetőeljárásban a magánvádlóként fellépő fél, jelen esetben a feljelentett – Kérelmező – bűnügyi személyes adatait továbbítja a büntetőeljárásban semmilyen szerepben részt nem vevő harmadik személyeknek abból a célból, hogy elérje, hogy a Kérelmező a személyes meghallgatáson megjelenjen, az már túlterjeszkedik a magáncélú felhasználás körén.

(46) A Hatóság álláspontja szerint legfeljebb akkor minősülhetett volna a jelen eljárás tárgyává tett két e-mail elküldése személyes tevékenység keretében végzett adatkezelésnek, ha azt a Kérelmezett csak és kizárólag közvetlenül a Kérelmezőnek küldte volna meg. Tekintettel azonban arra, hogy mindkét e-mailt, illetve az azokban feltüntetett személyes, illetve bűnügyi személyes adatokat 7-7 embernek, valamint a Kérelmező munkáltatójának központi [...] e-mail címre is elküldte, túlterjeszkedett a személyes tevékenyég keretében végzett adatkezelés határain, így tevékenységére nem alkalmazható a GDPR 2. cikk (2) bekezdés c) pontja szerinti kivétel.

(47) Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett jelen eljárásban vizsgált adatkezelése a GDPR hatálya alá tartozik.

(48) Ezt követően a Hatóság megvizsgálta a Kérelmezett azon kifogását, hogy mivel a Kérelmező nem fordult hozzá adatvédelmi tárgyú kérelemmel, ezért a Hatóság az ügyben nem járhat el, mert az a Hatóság eljárásának előfeltétele. A GDPR 77. cikke azonban nem határoz meg ilyen feltételt, az érintettek az adatkezelővel való előzetes kapcsolatfelvételtől függetlenül jogosultak arra, hogy a Hatósághoz forduljanak, ha megítélésük szerint a rájuk vonatkozó személyes adatok kezelése megsérti e rendeletet. Ebből kifolyólag nincs olyan jogszabályban meghatározott feltétel, amelynek hiányára tekintettel a kérelmet vissza kellett volna utasítani vagy utóbb az eljárást megszüntetni az Ákr. 46. § (1) bekezdés a) vagy 47. § (1) bekezdés a) pontja alapján. Ebből kifolyólag a Kérelmezett ezen hivatkozása nem elfogadható, ez alapján az eljárás nem szüntethető meg.

IV.3. Az adatkezelés jogszerűségének vizsgálata

IV.3.1. Az adatkezelés célhoz kötöttsége (49) A GDPR 5. cikk (2) bekezdése szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem lehet ezekkel a célokkal össze nem egyeztethető módon kezelni.

(50) A Be. 98. § (3) bekezdése szerint a büntetőeljárásban részt vevő személyek – a Be. 37. § szerint ilyen személy a sértett és a magánvádló is – a Be. rendelkezései alapján megismert személyes adatot a Be. szerinti jogaik gyakorlásához vagy kötelezettségeik teljesítéséhez szükséges mértékben és ideig kezelhetik. A Be. figyelemmel arra, hogy a büntetőeljárás során jellemzően bűnügyi személyes adatokat ismerhetnek meg az eljárás résztvevői, azok kezelésére kerülhet sor általuk, ezért a Be. ezen adatok szenzitív jellegére tekintettel meghatározza, hogy milyen célból kezelhetők jogszerűen, ami nem más, mint Be. szerinti jogok gyakorlása vagy kötelezettségek teljesítése.

(51) A Kérelmezett magánvádlóként vesz részt a feljelentései alapján a Kérelmezővel szemben indult büntetőeljárásokban, azaz képviseli a vádat, és a sértetti jogok mellett a vád képviseletével járó jogokat gyakorolhatja, ezen azonban nem terjeszkedhet túl. Ahogyan arra a Kérelmező is hivatkozott a kérelmében a Be. 130. § (1) bekezdése alapján a hivatalos iratok, így az idézések kézbesítése is a magánvádas eljárásokban a bíróság feladata, nem pedig a sértetté vagy magánvádlóé.

(52) Ebből kifolyólag a magánvádló, jelen esetben a Kérelmezett nem veheti át a bíróság helyét a magánvádas eljárásban keletkezett dokumentumok kézbesítése kapcsán, sikertelen kézbesítés esetén nem jogosult az iratokat önhatalmúlag informális módon harmadik személyekhez eljuttatni, hogy az hátha eljut az idézett személyhez, illetve ha sikerrel is jár az informális kézbesítés során, az abban az esetben sem minősül joghatályosnak, azaz az ilyen cselekmény során megvalósuló adatkezelés sem tekinthető jogszerűnek.

(53) A Kérelmezett nyilatkozata szerint az adatkezelésének az volt a célja, hogy megakadályozza a büntetőeljárások elhúzódását, és a Kérelmezett jelenjen meg a személyes meghallgatásokon, amelyekre idézve lett. Az eljárás elhúzódásának megakadályozása magánvádas eljárásban a Be. szerint azonban nem a magánvádló, hanem a bíróság feladata, az idézésre meg nem jelenő terheltet a bíróság újból idézheti, de adott esetben elrendelheti az elővezetését vagy előállítását is.

(54) Ebből kifolyólag a Hatóság megállapítja, hogy a Kérelmezett által megjelölt adatkezelési cél nem tekinthető jogszerűnek a Be. 98. § (3) bekezdése alapján, tehát megsértette a GDPR 5. cikk (2) bekezdése szerinti célhoz kötött adatkezelés elvét.

(55) A Kérelmezett hivatkozott továbbá arra is, hogy a 2021. január 6-án kelt, a Kérelmező bűnügyi személyes adatait tartalmazó levelét panasznak is szánta, így az adatkezelésének célja a panasztétel is volt. A levél azonban a Hatóság álláspontja szerint érdemi, a Hpt. 288. § (1) bekezdésében foglaltaknak megfelelő panaszként nem értelmezhető, az nem a [Társaság] magatartására, tevékenységére vagy mulasztására vonatkozott. A levelét úgy kezdte a Kérelmezett, hogy nem rendelkezik a Kérelmező email címével, ezért kéri „a jelen hivatalos levelet” számára továbbítani, és a levél további részében arról tájékoztatja a címzetteket, hogy a levél célja, hogy a Kérelmező a büntetőjogi felelőssége alól ne tudjon kibújni, illetve az „eljárást [a Kérelmező] és a többi [Társasághoz] kapcsolódó terhelt ne tudja elhúzni”. A [Társaságra] vonatkozóan csak annyi szerepel a levelében, hogy ott „adatvédelmi mulasztások” és […] vannak, továbbá „a [Társaságál] […] belső átvilágításokra, ellenőrzésekre, és vizsgálatokra lesz szükség, de erről […] további tájékoztatást fogok küldeni.” Ezen túlmenően a levele tematikájaként azt tüntette fel, hogy „Idéző végzés megküldése, ahol [a Kérelmező] a [Társaság] vezető jogtanácsosa terhelt, adatvédelmi jellegű bűncselekmény, magántitok megsértése”, azaz a levél elküldésekor azt ő maga sem pénzügyi panasznak tekintette, arra utalóan semmit nem tüntetett fel. Ebből kifolyólag a Hatóság a Kérelmező azon érvelését, hogy a levél elküldése, és ezzel a Kérelmező személyes adatainak továbbítása panaszkezelési célt is szolgált, nem tartja elfogadhatónak. A Hatóság álláspontja szerint a levél elküldésekor panasztételi szándéka nem volt a Kérelmezettnek, az a levélből egyáltalán nem olvasható ki, arra csak utóbb hivatkozott annak érdekében, hogy igazolja az adatkezelése jogszerűségét.

IV.3.2. Az adatkezelés jogalapja (56) A Kérelmezett a Hatóság egyik felhívására sem nyilatkozott arról, hogy milyen jogalapon továbbította harmadik személyeknek a kérelmező bűnügyi személyes adatait. Kiemelendő, hogy az Infotv. 5. § (7) bekezdése a bűnügyi személyes adatokra a különleges adatok kezelésének feltételeire vonatkozó szabályokat rendeli alkalmazni, azaz figyelemmel a GDPR 9. cikk (1) bekezdésére a bűnügyi személyes adatok kezelése főszabály szerint tilos, és azok csak akkor kezelhetők, ha az adatkezelésnek van egy 6. cikk (1) bekezdése szerinti jogalapja, illetve a 9. cikk (2) bekezdése szerinti valamely körülmény fennáll.

(57) A Hatóság álláspontja szerint a konkrét ügyben kizárólag a Kérelmező jogos érdeke, azaz a GDPR 6. cikk (1) bekezdés f) pontja az a jogalap, amelynek alkalmazása szóba jöhet, figyelemmel arra is, hogy az adatkezelése céljaként az általa kezdeményezett büntetőeljárások elhúzódásának megelőzését jelölte meg. A GDPR 6. cikk (1) bekezdés f) pontja szerint a személyes adatok kezelése jogszerű, ha az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé. Kiemelten fontos, hogy az adatkezelő jogos érdekére hivatkozással sem jelenthet az adatkezelés aránytalan korlátozást az érintett jogaira és érdekeire nézve.

(58) Ahhoz, hogy egy adatkezelés jogalapjaként jogszerűen lehessen hivatkozni az adatkezelő jogos érdekére, a jogos érdek azonosításán túl az adatkezelőnek azt is mérlegelnie kell, hogy az szükséges-e a jogos érdek érvényesítéséhez, azaz az adatkezelőnek meg kell vizsgálnia, hogy rendelkezésére állnak-e olyan alternatív megoldások, amelyek alkalmazásával a jogos érdek érvényesíthető adatkezelés nélkül, vagy a tervezett adatkezeléshez képest kevésbé korlátozó eszközökkel.

(59) A Be. 98. § (3) bekezdése alapján a Kérelmezett az általa kezdeményezett büntetőeljárás elősegítése érdekében kizárólag olyan, az eljárás során tudomására jutott bűnügyi személyes adatok kezelésével járó cselekményeket jogosult végezni, amelyekre sértetti, illetve magánvádlói minősége alapján jogosult vagy köteles, azaz a Be. behatárolja a jogszerűen végezhető adatkezelések körét. A Kérelmező ezen túlterjeszkedett, hiszen az idézések, bírósági iratok Kérelmező részére való kézbesítésének megkísérlése nem az ő feladata a büntetőeljárásban – különösen nem úgy, hogy bűnügyi személyes adatokat a büntetőeljárásban részt nem vevő harmadik személyek részére továbbít –, a mulasztás jogkövetkezményeit pedig a bíróság jogosult levonni.

(60) Ezen túlmenően a Kérelmezett által választott adatkezelés – az e-mailek szövegében és a csatolt idézésekben szereplő bűnügyi személyes adatok továbbítása – jelentősen túlterjeszkedett a szükséges mértéken azzal, hogy mindkét esetben hét, a feljelentése alapján indult büntetőeljárásokban részt nem vevő személynek, köztük a Kérelmező munkatársainak illetve a Kérelmező munkáltatójának központi e-mail címére – amelyhez semmilyen módon alá nem támasztott állításával ellentétben nem kettő, hanem 140-200 ember fér hozzá – továbbította a Kérelmező bűnügyi személyes adatait, ismertetve a büntetőeljárások tárgyát és a Kérelmező eljárási pozícióját. Ennek kapcsán a Kérelmező előadta, hogy álláspontja szerint bűnügyi személyes adatoknak az azok megismerésére jogszabályi felhatalmazás hiányában nem jogosult személyek részére történő továbbítására még abban a rendkívüli esetben sincs lehetőség, amennyiben a büntetőügy terheltje ismeretlen helyen tartózkodik és a Be. 135. §-a szerint hirdetményi kézbesítés válik szükségessé. A Be. 135. §-hoz fűzött kommentárirodalom szerint ugyanis „(…) a címzett neve még szerepelhet ezen hirdetményekben, de az már nem, hogy a büntetőeljárásban milyen minőségben, különösen, ha terheltként vesz részt, a be. 98. § (1) bekezdése alapján ugyanis a büntetőeljárásban a személyes adatok, így a bűnügyi személyes adatok védelmét biztostani szükséges.” A Kérelmező szerint ennek fényében tehát még a büntetőügyekben eljáró hatóságoknak és bíróságoknak sincs jogosultsága arra, hogy – amennyiben a bűnügyi személyes adatot tartalmazó iratot a címzett, vagy jogszabály alapján átvételre jogosult más személy részére nem lehet kézbesíteni – a hirdetményben a címzett büntetőeljárásban betöltött pozíciójával kapcsolatosan bármilyen adatot szerepeltessen, különös tekintettel arra, ha a címzett az eljárásban terheltként vesz részt.

(61) A Kérelmező ebben a körben tartotta szükségesnek rögzíteni továbbá azt is, hogy a Kérelmezett által kezdeményezett büntetőeljárások a Kérelmezőt személyében érintik, azokban nem a [Társaság] jogtanácsosaként vagy törvényes képviselőjeként, hanem kifejezetten a vele mint magánszeméllyel szemben tett feljelentések nyomán indult büntetőügyek terheltjeként vesz részt, így a munkáltatójával, illetve a munkatársaival nem volt indokolt megosztani a bűnügyi személyes adatait.

(62) Mindezek alapján a Hatóság arra a megállapításra jutott, hogy a Kérelmezett nem rendelkezett a GDPR 6. cikk (1) bekezdése szerinti jogalappal sem az adatkezelésre, így annak vizsgálata, hogy a GDPR 9. cikk (2) bekezdése szerinti körülmények bármelyike fennállt-e, szükségtelen.

(63) Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett jogellenesen, megfelelő jogalap hiányában továbbította a Kérelmező bűnügyi személyes adatait harmadik személyeknek, megsértve ezzel a GDPR 6. cikk (1) és a 9. cikk (1) bekezdéseit.

IV.3.3. A jogszerű és tisztességes adatkezelés követelménye (64) A Kérelmező álláspontja szerint a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés a) pontja szerinti jogszerű és tisztességes adatkezelés elvét, mivel jogellenesen, jogalap nélkül kezelte a Kérelmező bűnügyi személyes adatait. Ezen túlmenően pedig az elküldött e-mailek dehonesztáló és gyalázkodó stílusából, valamint a széles címzetti körből arra vonható le következtetés, hogy a Kérelmezett célja nem volt más, mint az, hogy a Kérelmezőt rossz színben tüntesse fel a munkatársai és vezetői előtt, továbbá, hogy a Kérelmező ellen alaptalanul kezdeményezett büntetőeljárással együtt járó frusztráción túlmenően is további, teljesen szükségtelen és indokolatlan kellemetlenségeket okozzon ártó szándékkal.

(65) Az adatkezelés tisztességes volta olyan követelmény, amely többek között az érintett információs önrendelkezési jogának, és ezen keresztül magánszférájának, emberi méltóságának tiszteletben tartását jelenti: az érintett nem válhat kiszolgáltatottá az adatkezelővel vagy más személlyel szemben. Az érintett az adatkezelés folyamata alatt mindvégig az adatkezelés alanya kell maradjon, nem válhat annak puszta tárgyává.

(66) A Hatóság álláspontja szerint – a Kérelmezett szándékának és motivációinak vizsgálata nélkül – az elküldött e-mailek, az azokban szereplő bűnügyi személyes adatok harmadik személyek részére való továbbítása ténylegesen alkalmas volt arra, hogy a Kérelmező megítélését a munkatársai előtt hátrányosan befolyásolja. Ennek kapcsán hangsúlyozandó, hogy a Kérelmezett nem csak a Kérelmező feletteseinek, vezetőinek küldte el az e-maileket, akik adott esetben tudomással is bírhattak arról, hogy a Kérelmezővel mint magánszeméllyel szemben az egyébként a munkakörében végzett tevékenysége kapcsán a Kérelmezett feljelentést tett – NAIH-2868-6/2021. számú irat 1. melléklete –, hanem a […] e-mail címre is, amelyhez változó létszámú, de nagy számú, jellemzően ügyfélszolgálati feladatokat ellátó munkatárs férhet hozzá, akik nem ismerik a Kérelmezett által kezdeményezett büntetőeljárások hátterét, azaz az ő esetükben még inkább alkalmasak voltak az e-mailek arra, hogy rossz benyomást keltsenek a Kérelmezőről. Ennek kapcsán megjegyzendő, hogy a Kérelmező tekintettel a Be. korábban hivatkozott rendelkezéseire nem is számíthatott arra, hogy bűnügyi személyes adatainak ilyen módon való kezelésére sor kerül, így az ellen fellépni, tiltakozni sem tudott.

(67) Figyelemmel az előző bekezdésben foglaltakra, valamint arra, hogy a Kérelmezett jogszerű cél hiányában, jogalap nélkül kezelte a Kérelmező személyes adatai, a Hatóság megállapítja, hogy megsértette a GDPR 5. cikk (1) bekezdés a) pontja szerinti jogszerű és tisztességes adatkezelés elvét.

IV.4. Adatvédelmi bírság kiszabására irányuló kérelem (68) A Hatóság a Kérelmező adatvédelmi bírság kiszabására irányuló kérelmét elutasítja.

Ennek oka egyrészt, hogy mivel e jogkövetkezmény alkalmazása a Kérelmező jogát vagy jogos érdekét közvetlenül nem érinti, számára a Hatóság ilyen döntése jogot vagy kötelezettséget nem keletkeztet, ebből kifolyólag ezen, a közérdek érvényesítésének körébe eső jogkövetkezmény alkalmazása tekintetében a bírságkiszabás vonatkozásában – a Kérelmező nem minősül ügyfélnek az Ákr. 10.§ (1) bekezdése alapján, így e vonatkozásban kérelem benyújtásának nincs helye, a beadvány ezen része kérelemként nem értelmezhető.

IV.5. Jogkövetkezmények (69) A Hatóság a Kérelmező kérelmének helyt ad és megállapítja, hogy a Kérelmezett megsértette a GDPR 5. cikk (1) bekezdés a) és b) pontját, a 6. cikk (1) bekezdését, illetve a 9. cikk (1) bekezdését.

(70) A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kérelmezettel szemben adatvédelmi bírság kiszabása. E körben a Hatóság a GDPR 83. cikk (2) bekezdése alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértés esetében – az Infotv. 75/A. §-a szerinti – figyelmeztetés nem arányos és visszatartó erejű szankció, ezért bírság kiszabása szükséges.

(71) A Hatóság a bírságkiszabás során súlyosító körülményként vette figyelembe az alábbiakat:

• a Kérelmezett által elkövetett jogsértések jellegüket tekintve súlyosabb jogsértésnek minősülnek a GDPR 83. cikk (5) bekezdés a) pontja alapján [GDPR 83. cikk (1) bekezdés a) pont]; • a Kérelmezett adatkezelésének célja – az idézések harmadik személyek útján Kérelmező részére való eljuttatása – nem volt jogszerű, annak során túlterjeszkedett a számára, mint magánvádló számára a Be. által biztosított jogosultságokon [GDPR 83. cikk (1) bekezdés a) pont]; • a Kérelmezett mindkét alkalommal hét-hét olyan embernek továbbította a Kérelmező bűnügyi személyes adatait, akikről feltételezte, hogy ismerik a Kérelmező elérhetőségeit, holott az általa megjelölt cél eléréséhez – függetlenül attól, hogy az jogszerű volt-e vagy sem – elegendő lett volna egy főnek megküldenie a leveleit. A [Társaság] központi e-mail címére való megküldéssel pedig további nagy számú munkatárs részére tette megismerhetővé a Kérelmező bűnügyi személyes adatait [GDPR 83. cikk (2) bekezdés a) pont – adatkezelés köre]; • a Kérelmezett számos adatvédelmi hatósági eljárást kezdeményezett érintettként a Hatóságnál, továbbá a Hatóság döntéseivel szemben több alkalommal is bírósági jogorvoslattal élt, azaz a Kérelmezettről elmondható, hogy adatvédelmi kérdésekben tudatos, ezért a tudatának át kellett volna fognia, hogy az e-mailek elküldésével jogsértést valósít meg, ezért a Hatóság álláspontja szerint megállapítható, hogy a Kérelmezett a jogsértést szándékosan követte el. Mindezt az a körülmény is alátámasztja, hogy a Kérelmezett 2021. június 11-én úgy küldött újabb e-mailt a Kérelmező bíróság általi személyes meghallgatásra való idézéséről, hogy már tudomással bírt arról, hogy a 2021. január 6-i hasonló tartalmú e-mailje miatt a Kérelmező kérelmére adatvédelmi hatósági eljárás van folyamatban [GDPR 83. cikk (2) bekezdés b) pont]; • a jogsértés a Kérelmező bűnügyi személyes adatait érintette, amelyek az Infotv. 5. § (7) bekezdése alapján különleges személyes adatnak minősülnek [GDPR 83. cikk (2) bekezdés g) pont].

(72) A Hatóság a bírságkiszabás során enyhítő körülményként vette figyelembe, hogy a Kérelmezett természetes személy, továbbá álláskereső, nyilatkozata szerint rendszeres jövedelme nincs [GDPR 83. cikk (2) bekezdés k) pont].

(73) A Hatóság a bírságkiszabás során nem tartotta relevánsnak a GDPR 83. cikk (2)

bekezdés d), e), f), h), i), j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem is értelmezhetők.

(74) A fentiek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

V. Egyéb kérdések

(75) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország egész területére kiterjed.

(76) A határozat az Ákr. 80.-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik.

(77) Az Ákr. 112. §-a, és 116. § (1) bekezdése, illetve a 114. § (1) bekezdése alapján a határozattal és a megszüntető végzéssel szemben közigazgatási per útján van helye jogorvoslatnak.

(78) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

(79) A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

(80) A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg.

A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul.

(81) A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Budapest, 2021. december 3.

Dr. Péterfalvi Attila elnök c. egyetemi tanár