Орган по защите данных Венгрии (NAIH): запись звука на вокзалах и остановках системами видеонаблюдения

(…)

1055 Budapest Tel.: +36 1 391-1400 naih.hu/adatkezelesi-tajekoztatok Falk Miksa utca 9-11. KR ID: 429616918 ugyfelszolgalat@naih.hu

Ügyiratszám: NAIH-1589-19/2025 Tárgy: határozat hivatalból indított adatvédelmi hatósági eljárásban Előzmény ügyszám: NAIH-13678/2024 Ügyintéző: […] HATÁROZAT

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a MÁV Személyszállítási Zártkörűen Működő Részvénytársasággal (jogelőd: MÁV-HÉV

Helyiérdekű Vasút Zártkörűen Működő Részvénytársaság; székhely: 1091 Budapest, Üllői út 131., cégjegyzékszám: 01-10-045551, adószám: 13834492-2-44, meghatalmazott képviselője: […] adatvédelmi tisztviselő) mint jogutód kötelezettel szemben (a továbbiakban: Kötelezett) a jogelőd MÁV-HÉV Zrt. (a továbbiakban: Kötelezett jogelődje)

által, majd 2025. január 1-től a Kötelezett által a HÉV-állomásokon, a HÉV-megállóhelyeken és azok környékén elhelyezett és üzemeltetett kamerákkal megvalósuló adatkezelés különösen a hangrögzítési gyakorlata – az általános adatvédelmi rendeletnek és a vonatkozó jogszabályi rendelkezéseknek történő megfelelése tárgyában 2024. november

1. A Hatóság megállapítja, hogy a Kötelezett jogelődje és ezáltal a Kötelezett (tekintettel a polgári jog szabályai szerinti jogutódlásra) gondatlanul megsértette:

1.1.

a 2020. november 30-tól 2024. december 31-ig terjedő időszakban

a) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679 (EU) rendeletben (a továbbiakban: az általános adatvédelmi rendelet) 5. cikk (1) bekezdés a) pontjában foglalt „átláthatóság elvét”; b) az általános adatvédelmi rendelet 6. cikk (1) bekezdését;

1.2.

a 2020. november 30-tól 2024. november 27-ig terjedő időszakban

a) az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjában foglalt „adattakarékosság elvét”; b) az általános adatvédelmi rendelet 6. cikk (1) bekezdését; c) az általános adatvédelmi rendelet 12. cikk (1) bekezdését; d) az általános adatvédelmi rendelet 35. cikk (1) bekezdését;

1.3.

a 2021. április 27-től 2022. október 14-ig terjedő időszakban

a) az általános adatvédelmi rendelet 6. cikk (1) bekezdését; b) az általános adatvédelmi rendelet 13. cikk (1) bekezdésének e) pontját; valamint

1.4.

a 2023. június 26-tól 2024. december 18-ig terjedő időszakban az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontjában foglalt „korlátozott tárolhatóság elvét”.

2. A Hatóság megállapítja, hogy a Kötelezett 2025. január 1-jétől 2025. március 5-ig gondatlanul megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdésének

e) pontját.

3. A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés a) pontja alapján figyelmezteti a Kötelezettet – tekintettel arra, hogy Kötelezett egyes kamerarendszerei hangrögzítési funkcióval is rendelkeznek, azokat Kötelezett jogelődje 2024. november 27-ig használta is, és mivel a személyszállítási szolgáltatásokról szóló 2012. évi XLI. törvény (a továbbiakban: Szsztv.) 2025. január 1-jétől a hangrögzítés vonatkozásában módosult, azonban a jogszabály előkészítője adatvédelmi hatásvizsgálatot nem folytatott le az Szsztv. 8. § (2) bekezdése szerinti hangrögzítéshez –, hogy a jövőben tervezett kamerás megfigyeléshez kapcsolódó hangrögzítéssel és hangtovábbítással járó adatkezelési tevékenységei valószínűsíthetően sértik az általános adatvédelmi rendelet alapelvi rendelkezéseit, ezért csak abban az esetben és csak azon megállóhelyen, állomáson, illetve jármű fedélzetén végezzen hangrögzítést az Szsztv. alapján, amelyik helyszín kapcsán érdemi és dokumentált, az általános adatvédelmi rendelet 35. cikkének megfelelő adatvédelmi hatásvizsgálattal igazolja, hogy a hangrögzítés mint tervezett adatkezelés nem sérti az általános adatvédelmi rendeletben foglalt alapelveket (különösen az átláthatóság és az adattakarékosság elveit), továbbá a konkrét eszköz vonatkozásában igazolni tudja az adatkezelés alkalmasságát és szükségességét, ideértve azt is, hogy hangrögzítés nélkül nem érhetőek el a Kötelezett közfeladataként meghatározott célok.

4. A Hatóság az 1-2. pontokban megállapított jogsértések miatt a Kötelezettet hivatalból kötelezi a jelen határozat (a továbbiakban: Határozat vagy Jelen határozat) véglegessé válásától számított 30 napon belül

50.000.000 Ft, azaz ötvenmillió forint adatvédelmi bírság megfizetésére.

5. A Hatóság az információs önrendelkezési jogról és az információszabadságról szóló

6. A Hatóság a NAIH-13678-6/2024. ügyiratszámon iktatott végzésében elrendelt zár alá vételt megszünteti az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) 109. § (1) bekezdés c) pontja alapján, mivel az ügy érdemében a Hatóság a jelen határozatában döntést hozott. A dolog kiadása mellőzhető, tekintettel arra, hogy a végzésben rögzített állományokat a Hatóság a hatósági letétről, valamint a közigazgatási hatósági eljárás során zár alá vett vagy lefoglalt dolgok tárolásáról és értékesítéséről szóló 18/2017. (XII. 15.) IM rendelet 18. § (1) bekezdése értelmében a saját adathordozójára történő átmásolással foganatosította.

Az adatvédelmi bírságot jelen határozat véglegessé válásától számított 30 napon belül a Hatóság központosított bevételek beszedési célelszámolási forintszámlájára (10032000- 01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell átutalással megfizetni. Az összeg átutalásakor a NAIH-1589/2025 BÍRS. számra kell hivatkozni.

Amennyiben a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A 4. pontban és az 5. pontban előírt kötelezettségek teljesítését a Kötelezettnek jelen határozat véglegessé válásától számított 60 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt – igazolnia a Hatóság felé. A 4. pontban és az 5. pontban előírt kötelezettségek nem teljesítése, az adatvédelmi bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a Határozat, a bírság és a késedelmi pótlék végrehajtását. Az eljárásban eljárási költség nem merült fel. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani elektronikusan,1 amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

I N D O K O L Á S

I.

Tényállás

A Hatóság által megállapított tényállás a következő:

Állomás/Megállóhely

Kamera üzembe helyezésének kezdete

Megjegyzés

1. József Attila telep 2020.11.30 Mindegyik kamera képes hangrögzítésre.

2. Szigetcsép 2020.11.30 Mindegyik kamera képes hangrögzítésre.

3. Kerepes 2020.11.30 Mindegyik kamera képes hangrögzítésre.

4. Szilasliget 2021.04.01 Mindegyik kamera képes hangrögzítésre.

5. Örs vezér tere 2021.04.29 Mindegyik kamera képes hangrögzítésre.

6. Kistarcsa 2021.04.29 Mindegyik kamera képes hangrögzítésre.

7. Közvágóhíd 2021.11.12 kz-nvr-1_1-vg-kozep-vp kivételével mindegyik kamera rögzít hangot.

1 A közigazgatási per kezdeményezésére a NAIH_K01 elnevezésű űrlap szolgál: NAIH_K01 űrlap (2019.09.16) Az űrlap az általános nyomtatványkitöltő program (ÁNYK program) alkalmazásával tölthető ki. Lásd bővebben https://www.naih.hu/kozig-hatarozat-birosagi-felulvizsgalata

8. Aquincum 2022.12.12

Mindegyik kamera képes hangrögzítésre (kivéve: a kivételi körbe tartozó kamera, ld. 5. pontban adott válasz)

9. Budakalász 2022.12.12 bk-nvr-1_Peron-atjaro kivételével mindegyik kamera rögzít hangot.

10. Pomáz 2022.12.12 Mindegyik kamera képes hangrögzítésre.

11. Csepel 2022.12.12 Csak a cl-nvr-1_1-vg-tukor kamera képes hangrögzítésre.

12. Szentlélek tér 2023.12.11 Mindegyik kamera képes hangrögzítésre.

13. Pesterzsébet 2023.12.11 Mindegyik kamera képes hangrögzítésre.

14. Dunaharaszti 2023.12.11 Mindegyik kamera képes hangrögzítésre.

15. Szigetszentmiklósgyártelep 2023.12.11 Mindegyik kamera képes hangrögzítésre.

16. Csömör 2023.12.11 Mindegyik kamera képes hangrögzítésre.

17. Mogyoród 2023.12.11 Mindegyik kamera képes hangrögzítésre.

18. Kistarcsa kórház 2023.12.11 Mindegyik kamera képes hangrögzítésre.

19. Zsófialiget 2023.12.11 Mindegyik kamera képes hangrögzítésre.

Tekintettel arra, hogy 2023-ban egy munkanap alatt az átlagos utas szám összesen több, mint 34 ezer fő volt a hangrögzítéssel érintett fenti HÉV-megállókban, HÉVállomásokon, a Kötelezett jogelődje jelentős számú érintettre vonatkozóan folytatott adatkezelést (ld. bővebben a Határozat (23)-(24) bekezdéseiben). (2) Az adatkezelés az utazóközönség számára nyitva álló terek nagymértékű, folyamatos megfigyelését valósította meg, ugyanakkor az általános adatvédelmi rendelet 35. cikk (1) bekezdése szerinti adatvédelmi hatásvizsgálatot – figyelmen kívül hagyva a 35. cikk (3) bekezdés c) pontját – a Kötelezett jogelődje a hangrögzítést is megvalósító folyamatos megfigyelés kapcsán nem folytatott le (ld.: NAIH-13678-4/2024. ügyiratszámú nyilatkozat 8. pontja). Kötelezett jogelődje a hangrögzítéssel megvalósult adatkezelése jogalapját nem tudta igazolni, a kamerás adatkezelése kapcsán több jogalapot hivatkozott – a jogos érdekét jelölte meg [NAIH-7019-5/2022. és NAIH-8219- 2/2023. ügyiratszámon csatolt érdekmérlegelési teszt], valamint az Szsztv. 8. § rendelkezésére hivatkozott, amely azonban a 2020. november 30-tól 2024. november 27-ig terjedő időszakban a hangot is érintő adatkezelésre vonatkozó lehetőséget, közfeladatot nem határozott meg számára. (3) A HÉV-állomásokon, illetve a HÉV-megállóhelyeken kifüggesztett adatkezelési tájékoztatókban az érintettek számára nem átlátható és könnyen hozzáférhető módon tüntette fel a Kötelezett jogelődje a hangrögzítés tényét. A megállókban kihelyezett tájékoztató kamera piktogramot és „Kamerával megfigyelt terület” címet tartalmazott jól olvasható módon, a cím és az ábra hangrögzítésre nem utalt. Az adatkezelés céljai között a tájékoztató ugyan rögzítette, hogy kép- és hangfelvételt készít, de az egészen apró betűs, alig látható volt, a kezelt adatok köre címnél a „személyekről készült felvétel” szerepelt, az az érintett hangjára külön nem utalt. Az adatkezelés jogalapjaként az Infotv. egy jogalapját is megjelölte, noha ilyen adatkezelésre nem kijelölt szerv, és megjelölte vele együttesen az általános adatvédelmi rendelet szerinti adatkezelői jogos érdekét, valamint az Szsztv. 8-8/A. §-ait is. Végül a Kötelezett jogelődje minden állomáson és megállóhelyen kép- és hangfelvétel készítéséről adott e dokumentum útján tájékoztatást, azaz nemcsak ott, ahol ténylegesen történt is hangrögzítés. (4) 2021. április 27. napján a MÁV-HÉV Zrt. és a Kerepesi Polgármesteri Hivatal között Együttműködési Megállapodás (a továbbiakban: Megállapodás, vagy Együttműködési

Megállapodás) jött létre. Az Együttműködési Megállapodás alapján a Kötelezett jogelődje a tulajdonában lévő, a Szilasliget HÉV-megállóban elhelyezett kamerák élőképeihez (ideértve a közvetített hangsávot is) történő távoli hozzáférést biztosított a Kerepesi Polgármesteri Hivatal részére, ezáltal folyamatos adattovábbítást végzett, amelyről tájékoztatást az érintetteknek nem adott, annak kapcsán jogalapot az eljárás során nem tudott igazolni. (5) A 2024. december 13-án, a Kötelezett jogelődjének székhelyén lefolytatott helyszíni szemle (NAIH-13678-5/2024. ügyiratszámú jegyzőkönyv) során a Hatóság számos korábbi kép-, és hangfelvételt talált, amelyek az eljáró nyomozóhatóságok által korábban lefoglalt személyes adatokat tartalmazó felvételek másolatai voltak. Ezeket a Kötelezett jogelődje nem törölte egészen 2024. december 18. napjáig, azaz a rögzítésüktől kezdve többet körülbelül másfél éven keresztül előre meghatározott megőrzési idő nélkül tárolt [ld. részletesen jelen Határozat (19) bekezdés]. (6) A Kötelezett a kamerás adatkezeléshez kapcsolódó új adatkezelési tájékoztatójában 2025. január 1. és március 5. között olyan adatfeldolgozót szerepeltetett címzettként a kamerás megfigyelés vonatkozásában, aki valójában adatkezelési műveletet nem folytatott, adatfeldolgozóként nem került bevonásra. Kötelezett új adatkezelési tájékoztatójában az már nem szerepel, azonban a korábbi is elérhető maradt a nyilvánosság számára a Kötelezett webtárhelyén, azt az internetes keresők kiemelt helyre sorolják. A tényállás alapjául szolgáló megállapítások:

(7) 2024. november 26-án a NAIH-13678-3/2024. ügyiratszámon a Hatóság belső feljegyzésében a NAIH-13678-1/2024. ügyiratszámon iktatott végzésre tekintettel az adatvédelmi hatósági eljárásban az iratanyag részévé tette a NAIH-13760/2024. ügyszámon (előzmény ügyszámok: NAIH-8219/2023. és NAIH-7019/2022) és a NAIH- 13200/2024. ügyszámon iktatott ügyekben keletkezett összes iratanyagot. A NAIH- 7163/2022. ügyszámon iktatott adatvédelmi incidens kivizsgálására irányuló eljárás anyagai nem kerültek az adatvédelmi hatósági eljárás iratanyagaihoz becsatolásra. (8) A Kötelezett jogelődje által üzemeltetett kamerák nem mindegyike volt alkalmas a hangrögzítésre, azonban valamennyi olyan eszköz esetében be volt kapcsolva a nevezett funkció, amely erre alkalmas (ld.: NAIH-8219-2/2023. ügyiratszámú nyilatkozat 1. pontja, 2023. október 4.). A Kötelezett jogelődje nyilatkozata értelmében tekintet nélkül a többlet adatkezelés szükségességére, valamennyi kameránál alkalmazták a hangrögzítés funkciót. Amennyiben a beszerzett kamera technikailag képes volt a hang rögzítésére, úgy ezen funkcióját a kamerának a Kötelezett jogelődje használta (ld.: NAIH-7019-5/2022. ügyiratszámú nyilatkozat 3. pontja). A kamera beszerzési eljárások lebonyolítása során a hangfelvétel rögzítése nem volt szempont a Kötelezett jogelődjénél, minden esetben más műszaki paraméterek alapján történt a kamera kiválasztás, pl.: helyszínfüggő látószög, felbontás, elhelyezés, szerelési szempontok, valamint beszerzési ár. Amennyiben a beszerzett kamera technikailag képes volt a hang rögzítésére, úgy ezen alapbeállításokat meghagyva a hang is rögzítésre került a képfelvétellel együtt (ld.: NAIH-7019-5/2022. ügyiratszámú nyilatkozat, 2. pontja). A Kötelezett jogelődje kifejtette azt is a 2023. október 4-i nyilatkozatában (ld.: NAIH-8219-2/2023. ügyiratszámú nyilatkozat 1. pontja, 2023.

október 4.), hogy a jövőben valamennyi megállóba hangrögzítésre is képes kamerákat kívánnak telepíteni, egyelőre azonban a szűkös költségvetési keret okán csupán 11 db megállóhelyre, állomásra volt lehetőség ilyen eszközök telepítésére. Ez a nyilatkozat megfelel annak a ténynek, hogy 2023. december 11-én további 8 helyszínre telepítettek hangrögzítést is végző kamerákat, és ezzel 2023. december 11-től már összesen 19 helyszínen működtek hangrögzítést is végző kamerák. A helyszínek száma nem csökkent és nem is emelkedett egészen 2024. november 27-ig. Nem mindegyik megállóhelyen, illetve nem mindegyik állomáson végzett valamennyi kamera hangrögzítést, előfordult, hogy egy-egy HÉV-állomáson vagy HÉV-megállóhelyen csak az egyik kamera volt képes hangrögzítésre. A következő helyszíneken voltak ilyen eltérések: Aquincum, Budakalász, Közvágóhíd, Csepel. Ezen eltéréseket a Határozat (1) bekezdésében szereplő táblázat tartalmazza. A szerelvények belsejében nincs és nem is volt kamerás megfigyelés, erre a Hatóság eljárása nem is terjedt ki (ld.: a helyszíni szemle során megtekintett kamerák betekintő képe alapján, NAIH-13678-5/2024. ügyiratszámú, 2024. december 13-án lezajlott helyszíni szemléről készült jegyzőkönyv).

A Hatóság 2020. november 30-tól vizsgálta a Kötelezett jogelődjének, illetve

Kötelezettnek a HÉV-állomásokon, illetve

HÉV-megállóhelyeken végzett hangrögzítési gyakorlatát. A rendszer naplófájlok szerint a hangrögzítés letiltása a kamerák vonatkozásában 2024. november 27-én került elrendelésre, erről a

Hatóság naplófájl kimentést vett zár alá (ld.: NAIH-13678-5/2024. ügyiratszámon iktatott helyszíni szemléről készített jegyzőkönyv és a NAIH-13678-6/2024.

ügyiratszámon iktatott zár alá vétel elrendeléséről szóló végzés). A Hatóság a Kötelezett jogelődjének, illetve a Kötelezettnek kizárólag a HÉV-állomásokon és HÉV-megállóhelyeken folytatott kamerás adatkezelés körében végzett tényleges hangrögzítési gyakorlatát 2020. november 30-tól 2024. november 27-ig terjedően vizsgálta. Az eljárás során az Szsztv. 8. § (3) bekezdése szerinti célra alkalmazott testkamerával, vagy a gépjárműben elhelyezett, a jegyértékesítési terület megfigyelésére alkalmazott fedélzeti kamerával esetlegesen megvalósuló adatkezelések nem képezték az eljárás tárgyát. (9) A 2024. december 11-én a Kötelezett jogelődje által előterjesztett NAIH-13678-4/2024. ügyiratszámú nyilatkozat szerint az állomásokon és a megállóhelyeken hangrögzítés útján végzett adatkezelés célja (a Kötelezett jogelődjének jogos érdeke) az volt, hogy a munkáltató a munkavállalók védelmét biztosítsa, valamint annak ellenőrzése, hogy a HÉV rendész munkakörben dolgozó munkavállalók a vonatkozó jogszabályoknak megfelelően végzik-e tevékenységüket. Az ellenőrzéssel nem általánosságban ellenőrizte a Kötelezett jogelődje a HÉV rendész munkakörben dolgozó munkavállalóit, hanem kizárólag abban az esetben, amennyiben például e munkavállaló munkaköri kötelezettsége keretében intézkedett harmadik személlyel szemben, és amely miatt a rögzített adatállomány tartalma, valamint a rögzítéssel érintett személyek magatartásának jogszerűsége, megfelelősége vita tárgyát képezte, vagy az ügyben hatósági eljárás (jellemzően szabálysértési vagy büntetőeljárás) indulhat(ott), azaz amennyiben a munkaviszony rendeltetésével közvetlenül összefüggő okból az feltétlenül szükséges volt (ld.: NAIH-13678-4/2024. ügyiratszámú nyilatkozat 6. pontja). (10) A Kötelezett jogelődje a NAIH-7019-5/2022. és a NAIH-8219-2/2023. ügyiratszámokon becsatolta a Szilasligeti HÉV-megálló kamerái vonatkozásában készített érdekmérlegelési tesztet (keltezése: 2020. november 26.), amely elvégzésének okaként meghatározott körülmény valamennyi hasonló jogos érdek jogcímén végzett adatkezeléssel érintett állomáson és megállóhelyen megegyezik, nem készített hangrögzítéssel érintett helyszínenként vagy eszközönként érdemérlegelési tesztet, így a Kötelezett jogelődje ezen érdekmérlegelési tesztet tekintette irányadónak valamennyi ilyen állomáson és megállóhelyen. (11) 2021. április 27. napján a MÁV-HÉV Zrt. és a Kerepesi Polgármesteri Hivatal között

Együttműködési Megállapodás jött létre. A Megállapodás alapján a Kötelezett jogelődje a tulajdonában lévő, a Szilasliget HÉV- megállóban elhelyezett kamerák élőképeihez (hanggal együtt) történő távoli hozzáférést biztosított a Polgármesteri Hivatal részére. A Megállapodás 2.1. pontjában a felek rögzítették, hogy a felvételek adathordozóra történő kimentésére és harmadik fél részére való átadására kizárólag a MÁV-HÉV Zrt. jogosult. „ (A 2021. április 27. napján aláírt Együttműködési megállapodás 2.1. pontja, ld.: NAIH- 7019-3/2022. ügyiratszámú nyilatkozat melléklete.) A felvételt a Megállapodásban foglaltak alapján a Kerepesi Polgármesteri Hivatalnak sem lementeni, sem továbbítani nem lett volna joga. Az élőkép megfigyelése esetén nem került sem részben, sem egészben kitakarásra az élőképen szereplő személy (ld.: NAIH-7019-3/2022. ügyiratszámú megkeresésre adott válasz 2. pontja). (12) 2022. augusztus 15-én az egyik, a Szilasligeti HÉV-megállóban elhelyezett közterületet figyelő kamera rögzített egy, a megállóban önkielégítést végző férfiről egy felvételt, amely képsort Kötelezett jogelődje a távoli hozzáférés útján közvetített a Kerepesi Polgármesteri Hivatal és a Kötelezett jogelődje között fennállt Megállapodás alapján és amelyet Kerepes város polgármestere (a továbbiakban: Polgármester) eredetileg a saját Facebook oldalán megosztott 2022. augusztus 18-án, és azt több médium is átvette. 2022. augusztus 16-án készült egy olyan videó is, melyben a Polgármester jelzi, hogy ha két napon belül nem jelentkezik a térfigyelő kamera felvételén szereplő férfi, akkor nyilvánosságra fogja hozni a felvételt. A férfi nem jelentkezett, így a Polgármester nyilvánosságra hozta a felvételt. A közzétett felvételekkel összefüggésben a Polgármesteri Hivatalnál a Hatóság a NAIH-507/2023. ügyszámú hatósági eljárása keretében helyszíni szemlét folytatott le, amelynek során a Szilasliget HÉV megállóban üzemelő kamerák vonatkozásában a Polgármesteri Hivatal által rögzített egyes kép- és hangfelvételekről a Hatóság másolatot készített, a kimentett felvételek többségén emberi hang és/vagy a beérkező HÉV szerelvény hangja tisztán hallható volt (pl.: D21_20220914104034.mp4) [ld.: NAIH-507-32/2023. ügyiratszámon hozott határozat (20) bekezdése]. A Szilasligeti-HÉV megállóban alkalmazott kamerák képet és hangot is rögzítettek. (13) A Hatóság a Kötelezett jogelődjét a vizsgálati eljárás során nyilatkozat tételre hívta fel (NAIH-7019-2/2022. ügyiratszámú megkeresés), hogy milyen célból és mely, az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti jogalap alapján került továbbításra a felvétel Kerepes Város polgármesterének, továbbá, hogy a felvétel lementése és továbbítása naplózásra került-e, tartalmazza-e bármilyen dokumentum (pl. szabályzat, utasítás) a felvételek lementésének, továbbításának részletszabályait. A Kötelezett jogelődje a felvételek készítésének és rögzítésének jogalapját az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontjára (jogos érdek) alapította. A Kötelezett jogelődje hangsúlyozta, hogy az Szsztv. 8. § (2) és (5) bekezdésben rögzítettek alapján az utasok, valamint a szolgáltató munkavállalói és megbízottjai élete, személye, testi épsége, vagyontárgyai védelme, valamint a járművei, berendezései, eszközei, egyéb vagyontárgyai és a nemzeti vagyon védelmének érdekében jogosult képfelvételt készíteni és a jogszabályban meghatározott időtartamig tárolni. Az élőkép továbbításának célját a Megállapodás 1.1. pontjában határozta meg, mely szerint a H8as HÉV-vonalon az utasok biztonságérzetének javítása, továbbá a közbiztonságot megzavarók és a vasúti infrastruktúra elemeket rongálók elleni hatékonyabb fellépés érdekében Szilasliget megállóhelyen a vasúti infrastruktúra elemek védelme és a közösségi közlekedési járművek zavartalan forgalmának biztosítása, továbbá a jogsértő cselekmények kiszűrése és megelőzése. (14) Az élőképek továbbítása kizárólag a Kerepesi közterület-felügyelet számára történt a Megállapodás alapján (ld.: NAIH-7019-5/2022. ügyiratszámú nyilatkozat 5. pontja.). A 3 kamerából álló kamerarendszer (ld.: NAIH-507-32/2023. ügyiratszámú határozat (17) bekezdése) a Szilasligeti HÉV-megállóba pedig 2021. április 1-jén került üzembe helyezésre a Határozat (1) pontjában szereplő táblázat adatai alapján. Szintén úgy nyilatkozott Kötelezett jogelődje 2023. április 19-én, hogy nem biztosít hozzáférést a Szilasliget HÉV-megálló kameraképeihez Kerepes Város Önkormányzatának. (ld.:

NAIH-507-13/2023. ügyiratszámú nyilatkozat). Kötelezett jogelődje 2024. november 13án (NAIH-13200-2/2024) szintén nyilatkozott, hogy már nincs hatályban a Megállapodás, és nincs is olyan szerv, vagy személy, aki/amely a rögzített kamera- és hangfelvételekhez hozzáférhet, ugyanis a Kerepesi Polgármesteri Hivatallal kötött megállapodást a felek nem alkalmazzák (felfüggesztették), az adattovábbítás technikai feltételei már nem adottak. A Kerepesi Polgármesteri Hivatallal 2021. április 27-én létrejött Együttműködési Megállapodás 2024. november 25. napján került felmondásra 30 napos felmondási idővel, azaz a Megállapodás végül 2024. december 25-én szűnt meg. Az Együttműködési Megállapodás felmondását megelőzően a felek leveleztek egymással (ld.: a Kötelezett által becsatolt levelezés a NAIH-1589-9/2025. ügyiratszámú nyilatkozat 3. sz. mellékleteként), a Hatóság a levelezés alapján úgy ítélte meg, hogy a felfüggesztés napja 2022. október 14-e volt, mivel aznap volt az utolsó levélváltás a felek között. A felfüggesztés és az Együttműködési Megállapodás felmondása között nem volt egyáltalán elérhető a kamerakép. A NAIH-1589-9/2025. ügyiratszámú nyilatkozatban kifejtettek szerint a felfüggesztés és a technikai feltételek hiánya alatt azt érti a Kötelezett, hogy fizikailag az optikai kábel eltávolításra került, ami a közvetlen kapcsolatot biztosította. Annak ellenére, hogy a Megállapodást súlyosan megszegte a Kerepesi Polgármesteri Hivatal azáltal, hogy a Kötelezett jogelődjének eszközei által továbbított kép- és hangfelvételt a Polgármesteri Hivatal rögzítette – abból származó szexuális életre vonatkozó különleges személyes adatot és bűnügyi személyes adatot tartalmazó felvételeket osztott meg nyilvánosan a Polgármester 2022. augusztusában, – a Kötelezett jogelődje csak egy felszólítást küldött a Kerepesi Polgármesteri Hivatal részére, melyben felhívta, hogy haladéktalanul intézkedjenek azzal kapcsolatban, hogy a jövőben felvételek adathordozóra történő „kimentésére” és harmadik fél részére való átadására semmilyen körülmények között ne kerülhessen sor (levél kelte: 2022.08.31., becsatolva: NAIH- 7019-3/2022. ügyiratszámú nyilatkozathoz), a Megállapodás csupán 2022. október 14-én került felfüggesztésre (szüneteltetésre).

(15) A Kötelezett jogelődje a HÉV-állomásokon és HÉV-megállóhelyeken található kamerákkal végzett adatkezelésről szóló, a Kötelezett jogelődjének a régi, már nem működő weboldalán (www.mav-hev.hu) 2020. november 3-tól 2024. december 31-ig közzétett és elérhető adatkezelési tájékoztató (a továbbiakban: Régi Adatkezelési Tájékoztató) szerint a kezelt adatok köre a következő volt: „A kezelt személyes adatok típusa: a vasútállomáson a közforgalom számára nyitva álló helyre, a megállóhelyre, valamint a személyszállító vasúti járművek belterébe belépő személyeknek a képfelvételeken látszódó arcképmása és egyéb, a megfigyelőrendszer által rögzített személyes adatai.” (ld. Régi Adatkezelési Tájékoztató 5. pontja)” [ld.: NAIH-1589- 9/2025. ügyiratszámon iktatott nyilatkozat, https://web.archive.org/web/20210415230528/https://www.mav-hev.hu/hu/adatvedelmitajekoztatas és https://web.archive.org/web/20240927024615/https://www.mavhev.hu/hu/adatvedelmi-tajekoztatas, valamint a NAIH-1589-9/2025. ügyiratszámú nyilatkozathoz csatolt Utasítás 14. sz. mellékletei]. (16) Az adatkezelés célját a Régi Adatkezelési Tájékoztató 1. pontja határozta meg: „Az elektronikus biztonságtechnikai rendszer által folytatott megfigyelés, valamint a rendszer által rögzített, személyes adatokat tartalmazó kép- és hangfelvétel készítésének, tárolásának célja fentiekben meghatározott területeken található berendezések, a személyszállító vasúti járművek, továbbá az utasok és a szolgáltató munkavállalói és megbízottai életének, személyének, testi épségének és vagyontárgyaik védelme.” Az alábbi táblázatot is tartalmazta a Régi Adatkezelési Tájékoztató:

Adatcsoportok Személyes adat Az adatkezelés célja

Képmás és hang

Képmás Az 1. pontban foglaltak szerint

Hang Az 1. pontban foglaltak szerint (17) A Régi Adatkezelési Tájékoztató kivonata a MÁV-HÉV Zrt. 30/2020 (VI.16.) VIG. számú

Adatvédelmi és adatbiztonsági utasítás (a továbbiakban: Utasítás) 14. sz. melléklete volt. A 14. sz. Melléklet csupán egyszer került módosításra, mégpedig 2023. november 10-én, de a módosítás nem érintette az adatkezelés célját, jogalapját, az adatkezelés adatkörét. Maga az Utasítás akként rendelkezett, hogy a Kötelezett jogelődjének intranet oldalán való közzététel napján lép hatályba (ld.: Utasítás 6.0. pont., 55. oldal) A hatályba lépés 2020. június 22. volt a Kötelezett NAIH-1589-9/2025. ügyiratszámon küldött nyilatkozatának 5) pontja szerint. Az Utasítás 2020. november 3-tól egészen 2024. december 31-ig négy alkalommal került módosításra. A fenti Régi Adatkezelési Tájékoztató (14. sz. Melléklet) teljes egészében azonban a HÉV-állomásokon, illetve HÉV-megállóhelyeken nem került kifüggesztésre, ott csupán piktogramok, a Régi Adatkezelési Tájékoztató kivonata volt elérhető. A kivonat a hangfelvétel készítésre kizárólag az adatkezelés céljánál, az 1. pontban utalt a tájékoztató táblán, azonban az egészen apró betűs, alig látható volt. (ld: A Kötelezett jogelődje a NAIH-13200-2/2024. ügyiratszámon, 3. sz. mellékletként becsatolta a Hatóság részére azt a tájékoztatást, amelyet a Kötelezett jogelődje a HÉV-megállóhelyeken és HÉVállomásokon függesztett ki.) Ezen tábla az adatkezelés jogalapját az Infotv. 5. §-ára és az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára és az Szsztv. 8. §-ra és a 8/A. §-ára alapozta. Az 1/2024. (2024. IX. 03.) sz. BIGK Biztonsági igazgatói körlevél a testkamerák vonatkozásában már megfelelő piktogramot írt elő rendszeresíteni a körlevél 1. sz. mellékletében, ez azonban hatályát tekintve nem vonatkozott a megállókban alkalmazott figyelemfelhívó jelzésekre (lásd a NAIH-13200- 2/2024. ügyiratszámú nyilatkozat melléklete).

(18) A 2024. december 13-án, a Kötelezett jogelődjének székhelyén lefolytatott helyszíni szemle (NAIH-13678-5/2024. ügyiratszámú jegyzőkönyv) során talált, rendőrség által korábban lefoglalt felvételeket a Kötelezett jogelődje nem törölte, egészen 2024. december 18. napjáig, azaz körülbelül másfél éven keresztül túltárolta. A helyszíni szemle során megállapításra került, hogy a legkorábbi kép-és hangfelvétel 2021. szeptember 14-i dátumú (ld.: NAIH-13678-5/2024. ügyiratszámú jegyzőkönyv). A tárolással kapcsolatban a Kötelezett a NAIH-1589-3/2025. ügyiratszámú nyilatkozatában előadta, hogy az Szsztv. a 2021. évben a Hatóság részére kimentett felvételekre nem rendelkezett felvételek további tárolásának idejéről, emiatt a Kötelezett jogelődje az ilyen jellegű felvételek esetében a bűncselekmények elévülési idejét alapul véve 5 éves tárolási időt határozott meg az Utasítás 14. sz. Mellékletének 7. pontjában. A felvételek lefoglalását követő törlési határidővel kapcsolatban az Szsztv. a 2023.06.26. napján hatályba lépett módosítása óta rendelkezik az Szsztv. 8. § (11) bekezdésben. Azonban a jogszabálymódosítást követően a Kötelezett nem vizsgálta felül a felvételek tárolására vonatkozó előírásait, kizárólag a szabályzatok módosítására koncentrált: „Figyelemmel az Sztv. 2023. június 26. napján hatályba lépett módosításaira, az Adatvédelmi Utasítás vonatkozó tájékoztatását tartalmazó mellékmódosítása folyamatban van. A módosított és kiegészített adatkezelési tájékoztatók cseréje jelenleg is folyamatban van tekintettel a kihelyezéssel érintett területek (megállók, járművek, pihenőhelyiségek stb.) számosságára.” (ld.: NAIH-8219-2/2023. ügyiratszámú nyilatkozat 7. pontja) A Kötelezett jogelődje a 2023. október 4-i nyilatkozatában akként nyilatkozott, hogy (NAIH-8219-2/2023. ügyiratszámú nyilatkozat 3. pontja) a felvételt az Szsztv. 8. § (11) bekezdésével összhangban a bíróság vagy hatóság részére történő megküldését követő 90. napon törlik, kivéve az alábbi esetekben történő vizsgálat lefolytatása, vagy az érintett által előterjesztett kérelemben megjelölt ok miatt a felvétel további megőrzése indokolt. A benyújtott kérelmet követően a felvételt mindaddig nem törlik, amíg a megkeresés meg nem érkezik, vagy az érintett által előterjesztett kérelemben megjelölt indok miatt annak további kezelésére szükség van, de legfeljebb a kérelem beérkezését követő hat hónapig. Kötelezett jogelődje a Hatóság helyszíni szemléjét követően a 2023. június 26. napját megelőzően lefoglalt és még tárolt felvételekkel összefüggésben a gyakorlatát felülvizsgálta. (19) A 2023. június 26. napját megelőzően lefoglalt és 2024. december 18-ig tárolt felvételek

2024. december 18-án törlésre kerültek, amelyről jegyzőkönyv is készült 2024. december 19-i dátummal és aláírással (ld.: NAIH-1589-9/2025. ügyiratszámú nyilatkozat 4. sz. melléklete). A felvételek az alábbi táblázat szerinti időpontban és helyszíneken készültek:

• 2021.10.15. 0:20-01:00 Szentendre állomás

• 2022.05.10. 14:30-15:30 Szentendre, Pannóniatelep állomások

• 2022.09.02. 15:00-16:15 Szentendre + Pannóniatelep, Békásmegyer, Margit híd, Batthyány tér állomások a szerelvény elhaladásának időpontjában.

• 2023.01.10. Gödöllő állomás 19:00-19:30, Kerepes állomás 18:40-18:45, Szilasliget megállóhely 18:43-18:50

• 2023.01.15. 23:00-23:59:59 Közvágóhíd állomás

• 2023.01.27. 21:00-22:30 Szentendre állomás

• 2023.02.02. 21:20-21:55 Margit híd állomás

• 2023.02.11. 16:00-16:30 Csepel állomás

• 2023.02.14. 17:00-20:00 Kerepes állomás, Örs vezér tere állomás

• 2023.03.28. 15:30-16:15 Szentendre állomás, Pomáz állomás

• 2023.03.31 20:35-20:55 Szentendre állomás

• 2022.10.22. 19:34-19:54 Közvágóhíd állomás

• 2022.11.15. 13:10-13:50 Batthyány tér, Margit híd állomás, 13:10-14:05 Békásmegyer állomás.

• 2022.09.05. 20:00- 2022.09.06. 02:30 Közvágóhíd állomás

• 2022.12.03. 15:00-16:30 Közvágóhíd állomás

• 2022.12.19. 15:30-16:30 Szilasliget állomás

• 2022.12.12. 19:40-19:45, 2022.12.18. 17:30-17:40, 2022.12.19. 0:05-0:12, Csepel állomás.

• 2022.12.25. 0:00-2022.12.29. 21:00 Szentendre állomás

• 2023.02.01. 18:15-18:17 Pesterzsébet felső állomás

• 2023.04.10. 03:00-05:30 Margit híd megállóhely

• 2023.03.28 18:00:00 - 2023.03.29. 19:30 Szentendre állomás

• 2023.04.10. 02:20 - 03:00 Csepel állomás

• 2023.05.14. 13:40 - 14:30 Mogyoród állomás, Szilasliget megállóhely, Kerepes állomás, Kistarcsa állomás, Örs vezér tere állomás

• 2023.04.17. 15:05-15:15 Pesterzsébet felső állomás

• 2023.06.04. 08:25-19:25 Szigetcsép állomás

• 2023.06.04. 15:22-16:34 Szigetcsép állomás

• 2023.06.07 16:30 - 17:10 Pannóniatelep megállóhely

• 2023.06.18. 01:00 - 02:00 Örs vezér tere állomás

• 2023.05.28. 02:31-02:40, 04:20-04:22 Kerepes állomás (20) A Kötelezett összesen 44 db felvételt törölt, amelyek 2021.09.14-től egészen

2023.05.28-ig terjedő időszakot öleltek fel, 2024. évi felvétel nem került törlésre. (21) A 2025. január 1-jei beolvadást követően (ld.: NAIH-1589-1/2025. ügyiratszámú nyilatkozat) a Kötelezett 2025. szeptember 3-i, majd 2025. október 1-jei hatállyal fogadta el saját üzletszabályzatát, és annak másolatát vagy elérési linkjét a Hatóság részére 2025. október 20-án küldte meg (NAIH-1589-9/2025. ügyiratszámú nyilatkozata; az Üzletszabályzat 2025. október 1-jei hatállyal az alábbi weboldalon található: https://www.mavcsoport.hu/mav-szemelyszallitas/belfoldi-utazas/hev-szemelyszallitasiuzletszabalyzat), illetve 2025. november 11-én került kiadásra „a MÁV Személyszállítási Zrt. üzemeltetésében lévő Kamerás Megfigyelő és Rögzítő rendszerekkel végzett kamerás megfigyelés rendje” - c. vezérigazgatói utasítás (hatályos: 2025. november 12től), amelyet a Kötelezett a NAIH-1589-16/2025. ügyiratszámon küldött meg a Hatóság részére 2025. november 19-én, miután a Hatóság a bizonyítási eljárást lezárta. A NAIH- 1589-3/2025. ügyiratszámú Kötelezetti nyilatkozathoz csatolt 45/2023 (X.13.) VIG a MÁV-START Zrt. üzemeltetésében lévő Kamerás Megfigyelő és Rögzítő rendszerekkel készített felvételek kezelésének rendje c. utasítás volt 2025. január 1-jétől addig hatályban, amely szerint a Kötelezett eljárt a HÉV terület esetében is.

(22) A Hatóság az Ákr. 2. § (2) bekezdésének c) pontjában foglalt jogszerűség alapelve és az Ákr. 4. §-ában rögzített hatékonyság elve alapján, mivel a jelen hatósági ügyet jogszabályban meghatározott határidőn belül, észszerű időben kívánta befejezni, így ezen, a Kötelezettnél 2025 őszéig elfogadásra váró, időközben elfogadott szabályzatokat, utasításokat nem vizsgálta külön jelen határozatban, azokra azonban elfogadásuk előtt az eljárás során észrevételeket tett. A Hatóság megállapította, hogy a Kötelezett 2025. január 1-jétől a HÉVmegállóhelyeken, illetve a HÉV-állomásokon nem rögzít hangot, ennek megfelelően a vonatkozó adatkezelési tájékoztatóját, illetve szabályzatát módosította, továbbá az adatkezelés jogalapját is javította új adatkezelési tájékoztatójában. A tájékoztatók, szabályzatok, utasítások folyamatos módosítás, felülvizsgálat alatt voltak, illetve nem kerültek a hatósági eljárás szempontból észszerű határidőben elfogadásra. Az adatvédelmi hatósági eljárás tárgya különösen annak tisztázása volt, hogy a Kötelezett jogelődje, illetve a Kötelezett által a HÉV-állomásokon, HÉV-megállóhelyeken és azok környékén elhelyezett és általa üzemeltetett kamerákkal megvalósuló adatkezelése, – különösen a hangrögzítési gyakorlata – során eleget tett-e, illetve eleget tesz-e az általános adatvédelmi rendeletnek és a vonatkozó jogszabályi rendelkezéseknek. (23) A Hatóság arra is kereste a választ, hogy vajon hány személy lehetett érintettje a vizsgált adatkezelésnek 2020. november 30-ától 2024. november 27-ig. 2023. év végétől és a 2024. évben üzemelt a legtöbb helyszínen, összesen 19 helyszínen ténylegesen hangrögzítést is végző kamera, ezért elsősorban ezen időszakot tekintette irányadónak a Hatóság.

(24) 2022-ben a MÁV-HÉV járatain 63 millió fizető utas utazott. A MÁV-HÉV járatait 2023ban 71 millió utazáshoz választották. 2024-ben a MÁV-HÉV Zrt. járatain 69 902 137 fő volt az összes utasszám. Az összesen 19 db állomás és megállóhely vonatkozásában

Naptári Év

Utasszám/év

Helyszínek száma

Hány utas érintett?

Statisztikai forrás

2020. nov.dec.-ig

63 millió

Kb. 6,4 millió fő érintett a kamerás adatkezelésben egy év alatt.

https://www.mavcsopo rt.hu/mavcsoport/tavaly-kozel- 700-millioan-utaztakmav-start-mav-hev-esvolanbusz-jaratain

71 millió

Kb. 11,3 millió fő érintett a kamerás adatkezelésben egy év alatt.

https://www.mavcsopo rt.hu/mavcsoport/tavaly-tobbmint-800-millio-utazastortent-mav-volancsoport-jaratain

69 902 137 fő Kötelezett NAIH-1589- 9/2025. ügyiratszámú nyilatkozata éves statisztikával a Kötelezett nem rendelkezik, azonban 2023-ban végzett munkanapi (napi) utasforgalmi adatokkal igen (ld.: NAIH-1589-9/2025. ügyiratszámú nyilatkozata). A napi utasforgalmi adatok alapján egy munkanap az utasszám több mint 34.510 fő volt 2023-ban (2 HÉV-megállóhely esetében nincs rendelkezésre álló adat). 2023-ban, illetve 2024-ben 251 munkanap volt. 2024-ben tehát hozzávetőlegesen több, mint 8.662.010 utast érintett a vizsgált adatkezelés, ugyanis abban az évben a fenti táblázat valamennyi helyszíne beleszámított a statisztikába. A statisztika alapján megállapítható, hogy jelentős számú érintettre vonatkozó adatkezelést végzett a Kötelezett jogelődje. A jogszabályi háttér változásai (25) Előzményként fontos rögzíteni, hogy 2019. április 26. előtt a jogalkotó az Szsztv. 8. § (1)

bekezdésében lehetőséget adott arra, hogy az akkor hatályos Szsztv. 2. § 15. pontja szerinti közlekedési szolgáltató elektronikus biztonságtechnikai rendszeren keresztül megfigyelést folytasson, a megfigyelés során kép- és hangfelvételt készítsen, valamint a készített kép- és hangfelvételt kezelje. 2019. április 26-tól azonban az Szsztv.

módosításra került, többek között kikerült az Szsztv. 8. § (1) bekezdés szövegéből a hangfelvétel készítésének lehetősége, tehát hangfelvétel készítése és kezelése a 2023. április 26-i hatályú Szsztv. 8. § (2) bekezdés a) pontja szerinti, azaz a 8. § (5) bekezdése szerinti helyszíneken nem volt a jogszabály alapján lehetséges. Ezen rendelkezést az Európai Unió adatvédelmi reformjának végrehajtása érdekében szükséges törvénymódosításokról szóló 2019. évi XXXIV. törvény 109. § (1) bekezdése állapította meg. A módosító törvény 109.-110. §-hoz fűzött indokolása szerint az Szsztv. módosítására a közlekedés területén általánosan alkalmazott megfigyelés és felvételkészítés szabályozásának az általános adatvédelmi rendelettel való összhangjának biztosítása érdekében volt szükség. Az Szsztv. meghatározza azon szolgáltatók és adatkezelési célok körét, melyek közérdekből, kötelező adatkezelési jogcímen képfelvételt készíthetnek és ezen adatok körét kezelik. Emellett nincs akadálya annak, hogy nem közérdekű tevékenységet végző személyszállítási szolgáltató – vagy a kötelező adatkezelésre egyébként kijelölt szolgáltató, ha éppen nem közérdekű szolgáltatási tevékenységet lát el – képfelvételt készítsen a járművén és a hozzá kapcsolódó infrastruktúra területén akkor, ha az adatkezelését más jogszerű, de nem a személyszállítási szolgáltatásokról szóló törvényben meghatározott adatkezelési jogcímre hivatkozva, érvényes jogalappal alakítja ki. A módosítással érintett rendelkezés lényegében 2019. április 26-tól volt hatályos egészen 2024. december 31-ig, azaz hangfelvétel készítésére és kezelésére az Szsztv. 8. § (2) bekezdése szerinti esetekben az Szsztv. nem határozott meg közfeladatot és nem adott jogszabályi lehetőséget 2019. április 26-tól 2024. december 31-ig. (26) 2023. június 26-tól az Szsztv. 8. §-ában foglalt rendelkezéseket az egyes közlekedési tárgyú törvények módosításáról szóló 2023. évi XL. törvény 57. §-a módosította, ugyanis a kamerafelvételek tárolásának időtartamára vonatkozó új rendelkezéseket állapított meg a kamerafelvétel törvényben meghatározott esetekben történő felhasználása, valamint a kamerafelvétel rendelkezésre bocsátására irányuló kérelem beérkezése esetére. Az Szsztv. továbbra is főszabályként írja elő azt, hogy a kamerafelvételt a rögzítést követő 16. napon törölni kell. Amennyiben azonban a kamerafelvétel felhasználása a törvényben foglalt esetekben a szolgáltató által indított vizsgálat keretében szükséges, úgy a kamerafelvétel e vizsgálat végéig megőrizhető. Abban az esetben, ha a kamerafelvétel rendelkezésre bocsátására bíróság vagy hatóság megkeresést küld, úgy a szolgáltató köteles a kamerafelvételt haladéktalanul a megkereső részére továbbítani, majd a továbbítást követő 90. napon törölni, kivéve, ha annak a szolgáltató által megindított vizsgálatban történő felhasználására továbbra is szükség van, vagy ha az érintett olyan kérelmet terjesztett elő, amelyben kérte, hogy a szolgáltató a kamerafelvételt ne törölje. Abban az esetben, ha a szolgáltató a vizsgálata eredményeként bírósági vagy hatósági eljárást kezdeményezett, úgy a kamerafelvételt a bírósági vagy hatósági eljárást lezáró határozat jogerőre emelkedéséről vagy véglegessé válásáról történő értesítés kézhezvételét követő 16. napon szükséges törölni. Az említett 2023. június 26-i Szsztv. módosítás továbbra sem tette lehetővé a hangfelvétel készítését. (27) 2025. január 1-jével az Szsztv. 8. § (2) bekezdés záró szövegrészében a „képfelvételt,”

szövegrész helyébe a „képfelvételt vagy kép- és hangfelvételt,” szöveg és a „képfelvételeket.” szövegrész helyébe a „képfelvételeket vagy kép- és hangfelvételeket.” szöveg lépett (ld.: az egyes közlekedési tárgyú törvények módosításáról szóló 2024. évi LXXXI. törvény 74. § a) pontja). A jogalkotó azonban a megfigyeléssel jogszerűen érintett helyek kapcsán előírásokat tartalmazó (5) bekezdést nem módosította, ott a (2) bekezdés szerinti célra is csak képfelvétel rögzítését teszi lehetővé a jogszabály, hangrögzítés az nem említ. A Kötelezett a NAIH-1589-3/2025. ügyiratszámon iktatott válaszában (2. pontban) akként nyilatkozott, hogy tekintettel arra, hogy 2025. január 1. napi hatállyal módosult az Szsztv. 8. § (2) bekezdése, a Kötelezett a kamerarendszereit nem állította át, hogy minden egyes kamera hangot is tudjon készíteni és kezelni, az adatkezelési felhatalmazás ellenére. A Kötelezett nem élt egyelőre ezzel a lehetőséggel. Alapvetően a Kötelezettnél rendelkezésre álló kamerarendszerek nem is rendelkeznek minden esetben hangfelvétel tárolására alkalmas funkcióval, vagy amennyiben újabb modernebb kamerarendszer kerül(t) beszerzésre, ebben az esetben a hangrögzítés funkció kikapcsolt állapotban van, emiatt nem is merült fel adatvédelmi hatásvizsgálat készítési kötelezettség a Kötelezett álláspontja szerint. A Kötelezett a jogszabályváltozástól függetlenül jelenleg nem végez hangrögzítést, kivéve a 2025. január 1. napja előtti szabályozásnak megfelelően a 8. § (3) bekezdése szerinti célokból folytatott testkamerás megfigyelést és a gépjárműben (autóbusz) elhelyezett, a jegyértékesítési terület megfigyelésére alkalmazott fedélzeti kamerás megfigyelést.

II.

A MÁV cégcsoport bemutatása

(28) A Kötelezett a MÁV cégcsoport egyik tagja.

(29) A cégcsoport az alábbiak szerint épül fel:

• MÁV Zrt. • MÁV Személyszállítási Zrt. • MÁV Pályaműködtetési Zrt. • MÁV Szolgáltató Központ Zrt. • MÁV-csoport további tagjai o ZÁHONY PORT Zrt. o MÁV Rail Tours Kft. o MÁV FKG Kft.

A fenti információk a

Kötelezett weboldalán érhetőek el: https://www.mavcsoport.hu/mav-csoport/bemutatkozas; https://www.mavcsoport.hu/mav-csoport/mav-csoport-tovabbi-tagjai. (30) A MÁV Zrt. a három nagy szakmai egység munkáját összehangoló, csoportirányító központ. Az új stratégiai vezérigazgató-helyettesi szervezet kiemelt feladatai közé tartozik a közösségi közlekedési szolgáltatások integrált, csoportszintű üzletfejlesztési és stratégiai céljainak meghatározása. Bizonyos központosított funkciók kiemelt fontosságúak a jövőbeni hatékony, utasbarát működés szempontjából: ilyen például a létrejött haváriaközpont, amely felügyeli a közlekedést, működteti a központi személyszállítási fődiszpécseri és havária ügyeletet, irányítja a rendkívüli események kezelését. Az utastájékoztatási koordináció csoportszinten koordinálja és szervezi a vasúti és autóbuszos statikus és dinamikus utastájékoztatási feladatokat, kapcsolatot tart a végrehajtást végző pályaműködtetési, szolgáltatói utastájékoztatási és forgalmi területekkel. A MÁV Zrt.-hez tartozik a szakterületek csoportszintű összefogása és egyes feladatok ellátása a leányvállalatok számára, valamint az egységes csoportszintű kommunikáció kialakítása. (31) A MÁV Magyar Államvasutak Zártkörűen Működő Részvénytársaság 2006.10.15.

napján alapította a MÁV-START Vasúti Személyszállító Zártkörűen Működő

Részvénytársaságot (a továbbiakban: MÁV-START Zrt.), vagy – a 2025.01.01. napjától alkalmazandó megnevezése alapján – MÁV Személyszállítási Zártkörűen Működő Részvénytársaság avagy – rövidített cégnevén – MÁV Személyszállítási Zrt.), mint egyszemélyes részvénytársaságot. A MÁV-START Zrt. alapításának célja az volt, hogy a MÁV Zrt. által – a normál nyomtávú vasúti pályán – végzett vasúti személyszállítási tevékenységet 2007. július 1-től átvegye. A MÁV-csoport felett tulajdonosi jogokat gyakorló Építési és Közlekedési Minisztérium elrendelte a MÁV- START Zrt., a VOLÁNBUSZ Zrt. és a MÁV-HÉV Zrt. egyesülését 2024. december 31. napjával, melyet az eljáró cégbíróság 2024. december 4-én bejegyzett, így a VOLÁNBUSZ Zrt. és a MÁV- HÉV Zrt. 2024. december 31. napjával megszűnt és beolvadt a MÁV-START Zrt.-be, az általános jogutód a MÁV-START Zrt. lett. Az integrált társaság 2025. január 1.

napjától új cégnéven

MÁV

Személyszállítási

Zártkörűen

Működő

Részvénytársaság (rövidített cégnevén MÁV Személyszállítási Zrt.) elnevezéssel folytatta működését. A jogutódlás folytán a jogok, illetve kötelezettségek összessége átszállt a jogutód gazdasági társaságra. A Kötelezett, vagyis a MÁV

Személyszállítási Zrt. 2025. január 1. napján kiadta az Adatvédelmi Szabályzatát, amelyre tekintettel a jogelőd társaságok adatvédelmi szabályzatai hatálytalanok (ld.: NAIH-1589-3/2025. ügyiratszámú nyilatkozat). A MÁV Személyszállítási Zártkörűen Működő Részvénytársaság az átvett társaságoknak a 2024. december 31-i vagyonmérleg szerinti egyenlegeit az egyesülést követően, 2025. január 1-től könyveli a könyveiben. (32) A Kötelezett jogelődje, a MÁV-HÉV Zrt. öt vonalon (H5 Szentendre, H6 Ráckeve, H7

Csepel, H8 Gödöllő, H9 Csömör), nagyságrendileg 100 km-es hálózathosszon végzett elővárosi vasúti személyszállítási tevékenységet. Jelenleg ez a tevékenység a Kötelezett tevékenységei között szerepel a jogutódlás eredményeképpen. III.

A Kötelezett és a Kötelezett jogelődje tevékenységének bemutatása

(33) A Kötelezett (2025. január 1. napjáig hatályos cégnevén MÁV-START Vasúti

Személyszállító Zártkörűen Működő Részvénytársaság) 2024. évi nettó árbevétele összesen 195 205 ezer Ft, azaz egyszázkilencvenötmillió-kettőszázötezer forint volt (bázis: 146.323 M Ft). A nettó árbevételből a menetdíjbevétel 58.012 M Ft, mely 5.602 M Ft-tal maradt el az előző év értékétől (bázis: 63.614 M Ft), a szociálpolitikai menetdíjtámogatás összege 58.916 M Ft, mely 23.108 M Ft-tal magasabb a bázisévhez képest (bázis: 35.808 M Ft). (34) A Kötelezett jogelődje, a MÁV-HÉV Zrt. a már említett beolvadással megszűnt.

A MÁV-HÉV Zrt. tulajdonosai mérlegfordulónapon:

• MÁV Magyar Államvasutak Zártkörűen Működő Részvénytársaság (székhelye: 1097 Budapest, Könyves Kálmán krt. 36.) 99,982 %-os tulajdoni hányaddal.

• MÁV-START Vasúti Személyszállító Zártkörűen Működő Részvénytársaság (székhelye: 1091 Budapest, Üllői út 131.) 0,009 %-os tulajdoni hányaddal.

• VOLÁNBUSZ Közlekedési Zártkörűen Működő Részvénytársaság (székhelye: 1091 Budapest, Üllői út 131.) 0,009 %-os tulajdoni hányaddal.

A MÁV-HÉV Zrt. jegyzett tőkéje 2024. december 31-én 11 000 000 ezer Ft volt. A MÁV-HÉV Zrt. értékesítési nettó árbevétele 2024. évben 8 932 879 ezer Ft volt. A nettó árbevételből

• agglomerációs menetdíjbevétel 1 248 561 ezer Ft, • szociálpolitikai menetdíj-támogatás összege 1 556 196 ezer Ft, amely a jelenleg hatályos 121/2012. (VI.26.) Korm. rendeletben meghatározottak szerint került elszámolásra. . Az egyéb bevételek összege 20 070 725 ezer Ft, amelynek jelentős részét a beszámolási időszakban a közszolgáltatási személyszállítás teszi ki (19 312 654 ezer Ft). Utóbbi túlnyomó részben az állami költségtérítésből (17 974 704 ezer Ft), és a BKK Zrt. 2024. évre vonatkozó költségtérítési hozzájárulásából (888 000 ezer Ft) adódik. Az aktivált saját teljesítmények értéke 155 479 ezer Ft. 2024. évben a Kötelezett jogelődjének üzleti bevétele összesen 41 715 432 ezer Ft volt, amelyből elszámolt belső bevételként 12 556 349 ezer Ft jelentkezett. IV.

Az eljárás menete

(35) A Hatóság a Szilasligeti HÉV-megállóban 2022. augusztus 15-én önkielégítést végző férfiról készült felvétel közzétételének ügyében 2022. szeptember 14. napján hivatalból adatvédelmi hatósági eljárást indított Kerepes város területén működő közterületi térfigyelő rendszer kamerafelvételeivel kapcsolatos adatkezelés jogszerűségének vizsgálata tárgyában (ügyszám: NAIH-7398/2022, NAIH-507/2023, határozat száma: NAIH-507-32/2023.), amelynek keretében a Hatóság a Kerepesi Polgármesteri Hivatalban folytatott helyszíni szemlét. A szemle során megállapítást nyert, hogy Kerepes Polgármesteri Hivatalának közterület-felügyelői egyes kamerák esetén nem csak képet, hanem hangot is rögzítenek, illetve képet és hangot is továbbító élőképet figyelnek meg (ld.: NAIH-7398-2/2022. ügyiratszámú, helyszíni szemléről készült jegyzőkönyv). Az eljárás során megállapítást nyert, hogy a kép-, és hangfelvételt is közvetítő kamerákat Kötelezett jogelődje, azaz a MÁV-HÉV Zrt. önállóan üzemeltette (ld.: NAIH-7019-3/2022. ügyiratszámú nyilatkozat 1. pontja.) (36) A felvétel nyilvánosságra hozatala kapcsán a Kötelezett jogelődjének az akkori adatvédelmi tisztviselője 2022. augusztus 31-én adatvédelmi incidenst jelentett be a Hatóságnak, amely a NAIH-7163/2022. ügyszámon került iktatásra.

(37) A fenti eljárástól függetlenül 2022. augusztus 22-én egy közérdekű bejelentés érkezett a Hatósághoz, melyben a bejelentő azt állította, hogy tudomása szerint a felvételt rögzítő térfigyelő kamera a Szilasligeti HÉV-megállóhelyen a Kötelezett jogelődjének tulajdona, az folytat adatkezelést a kamerákkal. A közérdekű bejelentésre a Hatóság az Infotv. 38. § (3) bekezdés a) pontja alapján a NAIH-7019/2022. ügyszámon (2023-as ügyszáma: NAIH-8219/2023; 2024-es ügyszáma: NAIH-13760/2024.) 2022. augusztus 30-án hivatalból vizsgálati eljárást indított a Kötelezett jogelődje ellen.

Tekintettel arra, hogy az eset kapcsán indult eljárások során a Hatóságnak hivatalból tudomására jutott, hogy a Szilasligeti HÉV-megállóban elhelyezett és a Kötelezett jogelődje által üzemeltetett kamera hangrögzítésre is alkalmas, és a szóban forgó eset során a Polgármester a képfelvétellel együtt rögzített hangfelvételhez is hozzáfért, a Hatóság a kép- és hangrögzítés, adatkezelés vonatkozásában kérdéseket tett fel a Kötelezett jogelődje részére.

(38) A Hatóság az Infotv. szabályai szerint folytatott vizsgálati eljárás, és a rendelkezésre bocsátott dokumentumok és nyilatkozatok alapján arra a megállapításra jutott, hogy a Kötelezett jogelődje által folytatott, kamerákkal megvalósuló adatkezelés vonatkozásában több szempontból is jogsérelem állhat fenn. (39) A 2023. április 19-i NAIH-507-13/2023. ügyiratszámú nyilatkozatában Kötelezett jogelődje a mb. biztonsági igazgatójának, illetve adatvédelmi tisztviselőjének részvételével a Hatósággal egy személyes konzultációt kezdeményezett. Erre hivatkozott később Kötelezett jogelődje a NAIH-13678-4/2024. ügyiratszámú nyilatkozatában, amelyben előadta, hogy korábban, a NAIH-507-12/2023. ügyiratszámú végzésre adott válaszában, 2023. április 19-én személyes konzultációt kért a Hatóságtól, (egy másik adatvédelmi hatósági eljárásban, amelynek tárgya Kerepes város területén működő közterületi térfigyelő rendszer kamerafelvételeivel kapcsolatos adatkezelés jogszerűségének vizsgálata volt és amely a Kerepesi Polgármesteri Hivatallal szemben hivatalból indított a Hatóság 2022. szeptember 14-én) amely kérésre a Hatóság észrevételt nem tett, így a Kötelezett jogelődje abban a feltételezésben volt, hogy a Hatóság tudtával történő adatkezelés megfelel a vonatkozó adatvédelmi és adatkezelési előírásoknak. A Hatóság azonban hangsúlyozza, hogy hatósági eljárásban konzultációs beadványnak nincs helye, a hatósági eljárásra az Infotv. és az Ákr. rendelkezései irányadók. (40) A Hatóság 2024. október 28-án a NAIH-13760-2/2024. ügyiratszámon megszüntette a NAIH-13760/2024. ügyszámú (korábban NAIH-7019/2022. és a NAIH-8219/2023. ügyszámon folyamatban lévő) vizsgálati eljárást. A Hatóság az ügyben a NAIH- 13200/2024. ügyszámon 2024. október 28-án az Ákr. 101. § (1) bekezdésének a) pontja alapján hatósági ellenőrzést (NAIH-13200-1/2024. ügyiratszámú végzés) indított annak ellenőrzésére, hogy a Kötelezett jogelődje a HÉV-megállókban, illetve a HÉVállomásokon elhelyezett és általa üzemeltetett kamerákkal megvalósuló adatkezelése során eleget tesz-e az általános adatvédelmi rendelet rendelkezéseinek. Egyúttal tényállás tisztázásra hívta fel a Kötelezett jogelődjét. (41) A Kötelezett korábbi nyilatkozatához (2023. október 4-én kelt, NAIH-8219-2/2023.

ügyiratszámú nyilatkozat); képest a NAIH-13200-2/2024. ügyiratszámon iktatott, 2024. november 13-án kelt nyilatkozatában akként nyilatkozott, hogy az alábbi állomásokon és megállóhelyeken rendelkezik olyan kamerákkal, amelyek megfigyelés keretében kép- és hangfelvételt készítenek: [Aquincum, Budakalász, Pomáz, Szentlélek tér (H5 vonal); Szigetcsép, Pesterzsébet felső, Dunaharaszti küldő, Szigetszentmiklós-gyártelep, József Attila telep, Közvágóhíd (H6 vonal); Csepel állomás (H7 vonal); Kerepes, Örs vezér tere, Szilasliget, Csömör, Mogyoród, Kistarcsa kórház, Zsófialiget, Kistarcsa (H8 vonal)]. Azaz, összehasonlítva a két nyilatkozatot, további 8 megállóban kerültek kihelyezésre olyan kamerák, amelyek megfigyelés keretében kép- és hangfelvételt készítenek, ezen megállók az alábbiak: Szentlélek tér, Pesterzsébet felső, Dunaharaszti küldő, Szigetszentmiklós-gyártelep, Csömör, Mogyoród, Kistarcsa kórház, Zsófialiget. Kötelezett továbbá előadta, hogy a fenti összesen 19 HÉV-állomáson, HÉVmegállóhelyen kihelyezett kamerák célja a megfigyelés, valamint a megfigyelőrendszer által rögzített, személyes adatokat tartalmazó kép- és hangfelvétel készítése és tárolása a szolgáltató tulajdonában álló berendezések, járművek, továbbá az utasok és a szolgáltató munkavállalói és megbízottjai életének, személyének, testi épségének és vagyontárgyainak védelme. A Kötelezett előadta, hogy a nem testkamerák, és nem a jegyértékesítési terület megfigyelésére alkalmazott kamerákkal folytatott adatkezelés jogalapja az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerint az adatkezelő jogos érdekének érvényesítése, továbbá az Szsztv. 8. §-a. Egyebekben a Kötelezett akként nyilatkozott, hogy a Hatósághoz a NAIH-7019-3/2022. (Iktatószám:

3132-1/2022/HEV), a NAIH-7019-5/2022. (Azonosítószám: EPAPIR-20221201-8284) és a NAIH-8219-2/2023. ügyiratszámokon (Iktatószám: 3997-1/2023/HEV, kelt: 2023. október 2.) iktatott – az Infotv. 38. § (3) bekezdés a) pontjával összhangban bejelentés alapján indult – vizsgálati eljárásban tett nyilatkozatait fenntartja. (42) A Hatóság 2024. november 26-án lezárta a hatósági ellenőrzést a NAIH-13200- 3/2024. ügyiratszámú végzésével, és egyúttal 2024. november 26-án a NAIH-13678-

1/2024. ügyiratszámon hivatalból adatvédelmi hatósági eljárást indított a Kötelezett jogelődjével szemben. A Hatóság a Kötelezett jogelődje által benyújtott iratok, dokumentumok, nyilatkozatok és az Ákr. 101. § (1) bekezdés a) pontja alapján indokoltnak látta, hogy hivatalból adatvédelmi hatósági eljárást indítson annak tisztázása érdekében, hogy a Kötelezett jogelődje (majd a jogutódlásra tekintettel Kötelezett) az általa alkalmazott adatkezelési gyakorlat során betartja-e az általános adatvédelmi rendeletben foglalt követelményeket és a vonatkozó jogszabályi rendelkezéseket. Az adatvédelmi hatósági eljárás tárgya annak tisztázása volt, hogy a Kötelezett jogutódja, illetve a Kötelezett által a HÉV-állomásokon, HÉV-megállóhelyeken és azok környékén elhelyezett és általa üzemeltetett kamerákkal megvalósuló adatkezelése, – különösen a hangrögzítési gyakorlata – során eleget tett-e, illetve eleget tesz-e az általános adatvédelmi rendelet előírásainak és a vonatkozó jogszabályi rendelkezéseknek. (43) Mivel a tényállás tisztázásához a kérdéses adatkezelés konkrét körülményeinek helyszínen való megvizsgálása volt szükséges, a Hatóság helyszíni szemle tartásáról döntött a NAIH-13678-2/2024. ügyiratszámú végzésében 2024. november 26-án, továbbá tényállás tisztázására hívta fel Kötelezett jogelődjét, amelyre a végzés kézhezvételétől számított 10 napos határidőt tűzött ki. A 10 napos határidő (letöltés: 2024. november 26.) 2024. december 6. napján járt le, a Kötelezett jogelődje pedig a 2024. december 6. napján kelt és aláírt válaszát 2024. december 11-én küldte meg a Hatóság részére (NAIH-13678-4/2024.). A válaszban a Kötelezett jogelődje nyilatkozott, hogy a 2024. december 6-án részükről kezdeményezett e-Papíros küldemény továbbítása technikai akadályba ütközött, amiért a Hatóság elnézését és megértését kérte.

(44) 2024. november 26-án a NAIH-13678-3/2024. ügyiratszámon a Hatóság belső feljegyzésében a NAIH-13678-1/2024. ügyiratszámon iktatott végzésre tekintettel a NAIH-13678/2024. ügyszámon hivatalból indított, folyamatban lévő adatvédelmi hatósági eljárásban a feljegyzés mellékleteként az iratanyag részévé tette a NAIH- 13760/2024. ügyszámon (előzmény ügyszámok: NAIH-8219/2023. és NAIH-7019/2022) és a NAIH-13200/2024. ügyszámon iktatott ügyekben keletkezett összes iratanyagot. A NAIH-7163/2022. ügyszámon iktatott adatvédelmi incidens kivizsgálására irányuló eljárás anyagai nem kerültek az adatvédelmi hatósági eljárás iratanyagaihoz becsatolásra. (45) A Hatóság 2024. december 13. napján helyszíni szemlét (ld.: NAIH-13678-5/2024.

ügyiratszámú helyszíni szemléről szóló jegyzőkönyv) folytatott le a Kötelezett jogelődjénél, azaz a MÁV-HÉV Helyiérdekű Vasút Zártkörűen Működő Részvénytársaság 1097 Budapest, Könyves Kálmán körút 11. C. ép. szám alatti székhelyén. A szemle tárgya a Kötelezett jogelődjének székhelyén tárolt, az általa a HÉV-állomásokon, a HÉV-megállóhelyeken és azok környékén elhelyezett és az általa üzemeltetett kamerákkal megvalósuló adatkezeléshez használt rendszerek és eszközök, kamerafelvételek, kameranaplófájl és a Kötelezett jogelődjének adatkezelési tevékenységével összefüggő adatbázis, NVR eszközök, illetve az ezeket tároló adathordozók megtekintése, valamint az azokkal folytatott adatkezelés megfigyelése útján annak ellenőrzése, hogy a Kötelezett jogelődje eleget tesz-e az adatkezelésre vonatkozó előírásoknak.

(46) A Hatóság az adatvédelmi hatósági eljárás során tartott helyszíni szemlén 2024.

december 13. napján a NAIH-13678-6/2024. ügyiratszámú végzésével a tényállás tisztázása érdekében a Kötelezett jogelődje székhelyén tárolt, az általa a HÉVállomásokon, a HÉV-megállóhelyeken és azok környékén elhelyezett és az általa üzemeltetett kamerák betekintési képéből, naplófájljaiból rögzített visszanézhető felvételeiből és más hatóság által lefoglalt felvételeiből az alábbi fájlokat a tényállás tisztázása érdekében másolattal zár alá vette: az IP Camera13_Békásmegyer_Békásmegyer_20241212140000_20241212140456_1_1G.p ng, Kerepes.png, kozvagohid_config.txt, Közvágó híd.png, kz-nvr-1_2-vg-kozepkp_{627A1E2F-0082-000B-B3EC-5DE13A69B114}_20241128140532(001).avi, Legrégebbi felvétel.png, md-nvr-1_1-vg-kozep_{657960B5-0306-0004-A966- 9E359829DA4}_20241004160000(001).avi, Szilasliget.png, users_kozvagohid.png elnevezésű állományokat, azaz összesen 9 db állományt. (47) A MÁV Személyszállítási Zrt. 2025. január 16. napján kelt, a Hatóság részére 2025.

január 16. napján benyújtott beadványában (NAIH-1589-1/2025. ügyiratszámú nyilatkozat) bejelentette, hogy a MÁV-HÉV Helyiérdekű Vasút Zártkörűen Működő

Részvénytársaság kötelezett jogutódjaként a MÁV Személyszállítási Zrt. a kieső kötelezett helyébe lép. A Kötelezett előadta, hogy a MÁV-csoport felett tulajdonosi jogokat gyakorló Építési és Közlekedési Minisztérium elrendelte a MÁV-START Zrt., a VOLÁNBUSZ Zrt. és a MÁV-HÉV Zrt. egyesülését, melyet az eljáró cégbíróság bejegyzett, így a VOLÁNBUSZ Zrt. és a MÁV-HÉV Zrt. 2024. december 31. napjával beolvadt a MÁV-START Zrt.-be. A MÁV-START Zrt. 2025. január 1. napjától kezdődően MÁV Személyszállítási Zrt. néven működik tovább. A Kötelezett előadta, hogy a kieső ügyfél/kötelezett (jogelőd) korábbi nyilatkozataiban foglaltakat változatlanul fenntartja. A jogutódlás tényét a cégnyilvántartás közhitelesen igazolja.

(48) Tekintettel egyrészt az ügyféli (kötelezetti) pozícióban bekövetkezett jogutódlásra, valamint arra, hogy 2025. január 1-jével az Szsztv. 8. § (2) bekezdés záró szövegrészében a „képfelvételt,” szövegrész helyébe a „képfelvételt vagy kép- és hangfelvételt,” szöveg és a „képfelvételeket.” szövegrész helyébe a „képfelvételeket vagy kép- és hangfelvételeket.” szöveg lépett (ld.: az egyes közlekedési tárgyú törvények módosításáról szóló 2024. évi LXXXI. törvény 74. § a) pontja), a NAIH-1589-2/2025. ügyiratszámú végzésbe foglalt kérdések megválaszolása elengedhetetlenné vált. Indokolttá vált egyúttal a tényállás tisztázása, azaz hogy a jogszabálymódosításra tekintettel megváltozott-e a Kötelezett adatkezelési gyakorlata, és amennyiben igen, eleget tett-e az adatvédelmi hatásvizsgálati kötelezettségének. A Hatóság ezért 2025. március 5-én a NAIH-1589-2/2025. ügyiratszámon 20 napos határidő tűzésével tényállás tisztázó végzést kiadmányozott, amit a Kötelezettnek meg is küldött. Kötelezett azt 2025. március 6-án vette át.

(49) A NAIH-1589-2/2025. ügyiratszámú tényállástisztázó végzésre a Kötelezett a NAIH-

1589-3/2025. ügyiratszámon 2025. március 25-én válaszolt, amely válaszra tekintettel további tényállás tisztázás vált indokolttá, ezért a Hatóság a NAIH-1589-4/2025. ügyiratszámon 2025. május 14-én 20 napos határidő tűzésével tényállás tisztázásra irányuló végzést kiadmányozott és küldött meg a Kötelezett részére. A NAIH-1589- 4/2025. ügyiratszámon iktatott tényállás tisztázó végzésre a Kötelezett 2025. június 2án a Hatósághoz érkezett levelében válaszolt (NAIH-1589-5/2025). (50) További tényállás tisztázás vált indokolttá, ezért a Hatóság a NAIH-1589-6/2025.

ügyiratszámon 2025. július 9-én tényállás tisztázásra irányuló végzést kiadmányozott (a megadott határidő 2025. augusztus 4. volt), amelyre a 2025. augusztus 1-jén kelt válasz a Kötelezettől a NAIH-1589-7/2025. ügyiratszámon érkezett be a Hatósághoz 2025. augusztus 1-jén.

(51) További tényállás tisztázás vált indokolttá, ezért a Hatóság a NAIH-1589-8/2025.

ügyiratszámon 2025. október 1-jén tényállás tisztázásra irányuló végzést kiadmányozott, amelyet 2025. október 2-án Kötelezett átvett, és amelyre a 2025. október 20-án kelt válasz a Kötelezettől a NAIH-1589-9/2025. ügyiratszámon érkezett be a Hatósághoz 2025. október 20-án.

(52) 2025. október 21-én a NAIH-1589-10/2025. ügyiratszámon a Hatóság belső feljegyzésében a NAIH-1589-8/2025. ügyiratszámon iktatott végzésre tekintettel a NAIH- 1589/2025. ügyszámon folyamatban lévő adatvédelmi hatósági eljárásban a feljegyzés mellékleteként az iratanyag részévé tette az alábbi dokumentumokat:

➢ Az átalakulás miatt jogutóddal megszűnt MÁV-HÉV Zrt. (1097 Budapest,

Könyves Kálmán körút 11. C. ép.; cégjegyzékszáma: 01 10 049023) cégmásolata és a MÁV Személyszállítási Zártkörűen Működő Részvénytársaság (1091

Budapest, Üllői út 131.; cégjegyzékszám: 01 10 045551) cégkivonata (2025. október 20-án a https://ceginfo.hu/ weboldalról a Hatóság által lekérve.). ➢ A Kötelezett jogelődje és a Kötelezett 2024. január 1. – 2024. december 31.

közötti időszakra vonatkozó általános üzleti évet záró éves beszámolója

december 31. közötti időszakra vonatkozó kiegészítő mellékletei (2025. október 20-án a https://ceginfo.hu/ weboldalról a Hatóság által lekérve.). ➢ A NAIH-7398-2/2022. ügyiratszámon keletkezett, 2022. szeptember 14-én a Kerepesi Polgármesteri Hivatalnál lefolytatott helyszíni szemléről készített jegyzőkönyv (annak mellékletei nélkül), a NAIH-507-13/2023. ügyiratszámon iktatott nyilatkozat, valamint a NAIH-507-32/2023. ügyiratszámon iktatott határozat, mint iratanyagok.

(53) A Hatóság a NAIH-1589-11/2025. ügyiratszámú 2025. október 27. napján kiadmányozott végzésében a Kötelezettet értesítette arról, hogy az adatvédelmi hatósági eljárásban a bizonyítási eljárás befejeződött és a Kötelezett a tényállás tisztázása során feltárt bizonyítékokat az iratokba való betekintés szabályainak figyelembevételével megismerheti és további bizonyításra irányuló indítványt terjeszthet elő.

(54) A Hatóság a Kötelezett meghatalmazott képviselője által előterjesztett, és a NAIH-1589-

12/2025. ügyiratszámon iktatott, 2025. november 3. napján érkezett, a Kötelezett iratbetekintés iránti kérelmének a NAIH-1589-13/2023. ügyiratszámú végzésében korlátozottan, az általa meg nem ismerhető személyes adatok felismerhetetlenné tételével 2025. november 6. napján helyt adott. (55) A Kötelezett a meghatalmazott képviselője útján 2025. november 12-én küldött, a NAIH- 1589-14/2025. ügyiratszámon iktatott nyilatkozatában előadta, hogy az iratbetekintésre a végzésben megadott időpontok közül a 2025. november 26. nap 14:00 órai időpontot kéri biztosítani és egy további kérdést tett fel a Hatóság részére. A Hatóság ezen kérdést 2025. november 17. napján kiadmányozott válaszában válaszolta meg a NAIH-1589- 15/2025. ügyiratszámon.

(56) A Kötelezett a NAIH-1589-16/2025. ügyiratszámon 2025. november 19-én a Hatóság részére megküldte a MÁV Személyszállítási Zrt. üzemeltetésében lévő Kamerás Megfigyelő és Rögzítő rendszerekkel végzett kamerás megfigyelés rendje – c. 2025. november 12-től hatályos vezérigazgatói utasítást.

(57) A Hatóság a NAIH-1589-17/2025. ügyiratszámon iktatta a 2025. november 26-i iratbetekintésről készült iratbetekintési jegyzőkönyvet.

(58) A Kötelezett a NAIH-1589-18/2025. ügyiratszámon a Hatóság részére 2025. december

3-án nyilatkozatot tett, hogy nem kíván az iratbetekintést követően bizonyítási indítványt benyújtani.

V. Alkalmazott Uniós és nemzeti jogszabályok

(59) Az általános adatvédelmi rendelet 2. cikk (1) bekezdése alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni. (60) Az általános adatvédelmi rendelet (39) preambulumbekezdése alapján: „(39) A személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. A természetes személyt a személyes adatok kezelésével összefüggő kockázatokról, szabályokról, garanciákról és jogokról tájékoztatni kell, valamint arról, hogy hogyan gyakorolhatja az adatkezelés kapcsán megillető jogokat. A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. A pontatlan személyes adatok helyesbítése vagy törlése érdekében minden észszerű lépést meg kell tenni. A személyes adatokat olyan módon kell kezelni, amely biztosítja azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok jogosulatlan felhasználását.” (61) Az általános adatvédelmi rendelet (60) preambulumbekezdése alapján: „(60) A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az adatkezelő olyan további információt is az érintett rendelkezésére bocsát, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. Az érintettet továbbá a profilalkotás tényéről és annak következményeiről tájékoztatni kell. Ha a személyes adatokat az érintettől gyűjtik, az érintettet arról is tájékoztatni kell, hogy kötelese a személyes adatokat közölni, valamint hogy az adatszolgáltatás elmaradása milyen következményekkel jár. Ezeket az információkat szabványosított ikonokkal is ki lehet egészíteni annak érdekében, hogy az érintett a tervezett adatkezelésről jól látható, könnyen érthető és jól olvasható formában általános tájékoztatást kapjon. Amikor az ikonokat elektronikus formátumban jelenítik meg, azoknak géppel olvashatóknak kell lenniük.” (62) Az általános adatvédelmi rendelet (90) és (91) preambulumbekezdése alapján a természetes személyek jogaira és szabadságaira nézve magas kockázattal járó ilyen esetekben az adatkezelő - annak érdekében, hogy az adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint a kockázat forrásait figyelembe véve felmérje a magas kockázat különös valószínűségét és súlyosságát - az adatkezelés előtt adatvédelmi hatásvizsgálatot végez. Ez a hatásvizsgálat magában foglalja különösen az említett kockázat mérséklését, a személyes adatok védelmét, valamint az e rendeletnek való megfelelés bizonyítását célzó tervezett intézkedéseket, garanciákat és mechanizmusokat. (91) Ez különösen vonatkozik egyrészt azokra a nagymértékű adatkezelési műveletekre, amelyek jelentős mennyiségű személyes adat regionális, nemzeti vagy szupranacionális szintű kezelését célozzák, és amelyek az érintettek jelentős számára hatással lehet, és amelyek például az adatok érzékenysége folytán valószínűsíthetően magas kockázattal járnak, másrészt azokra az adatkezelési műveletekre, amelyeknél nagy arányban a technológia elismert állásának megfelelő új technológiát alkalmaznak, valamint olyan más adatkezelési műveletekre is, amelyek magas kockázattal járnak az érintettek jogaira és szabadságaira nézve, különösen, ha az említett műveletek megnehezítik az érintettek számára, hogy a jogaikat gyakorolják. Adatvédelmi hatásvizsgálatot kell végezni továbbá, amikor az a személyes adatkezelés célja, hogy konkrét természetes személyekkel kapcsolatban döntést lehessen hozni azt követően, hogy elvégzik a természetes személyek személyes jellemzőinek szisztematikus és kiterjedt értékelését az említett adatokon alapuló profilalkotás alapján, illetve a személyes adatok különleges kategóriáira, a biometrikus adatokra vagy a büntetőjogi felelősség megállapítására és a bűncselekményekre vagy a kapcsolódó biztonsági intézkedésekre vonatkozó adatok kezelését követően. Az adatvédelmi hatásvizsgálatok elvégzése a nyilvános helyek nagymértékű megfigyelése esetében szintén követelmény, különösen, ha ezt elektronikus optikai eszközök alkalmazásával hajtják végre, valamint az olyan egyéb műveletek esetében is, amelyeknél az illetékes felügyeleti hatóság úgy ítéli meg, hogy az adatkezelés valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve, különösen mivel megakadályozza, hogy az érintettek a jogaikat gyakorolják vagy szolgáltatásokat vegyenek igénybe vagy szerződést érvényesítsenek, vagy mivel az említett műveletekre szisztematikusan és nagy számban kerül sor. A személyes adatok kezelése nem tekinthető nagymértékűnek, ha az adatkezelés egy adott szakorvos, egészségügyi szakember betegei vagy egy adott ügyvéd ügyfelei személyes adataira vonatkozik. Ilyen esetekben az adatvédelmi hatásvizsgálatot nem kell kötelezővé tenni. (63) Az általános adatvédelmi rendelet (93) preambulumbekezdése szerint: „(93) Az olyan tagállami jog elfogadásával összefüggésben, amelyen a közhatalmi szerv vagy egyéb, közfeladatot ellátó szerv feladatainak teljesítésén alapul, és amely a szóban forgó specifikus adatkezelési műveletet vagy műveleteket szabályozza, a tagállamok szükségesnek ítélhetik azt, hogy az adott adatkezelési tevékenységek megkezdése előtt ilyen hatásvizsgálatot folytassanak le.” (64) Az általános adatvédelmi rendelet 4. cikk 1. pontja alapján személyes adat azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható. (65) Az általános adatvédelmi rendelet 4. cikk 2. pontja alapján adatkezelés a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. (66) Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján adatkezelő az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja. (67) Az általános adatvédelmi rendelet 4. cikk 8. pontja alapján adatfeldolgozó az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel. (68) Az általános adatvédelmi rendelet 4. cikk 9. pontja alapján „címzett” az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak. (69) Az általános adatvédelmi rendelet 5. cikke értelmében:

„(1) A személyes adatok:

a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”); b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);

c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”); d) pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság”);

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”);

f) kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”). (2) Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).” (70) Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján:

„(1) A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez; b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges; f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek. Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.” (71) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerint az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15-22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon - ideértve adott esetben az elektronikus utat is - kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát. (72) Az általános adatvédelmi rendelet 13. cikkének (1) bekezdése értelmében:

„(1) Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

a) az adatkezelőnek és - ha van ilyen - az adatkezelő képviselőjének a kiléte és elérhetőségei; b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja; d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei; e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.” (73) Az általános adatvédelmi rendelet 31. cikke értelmében az adatkezelő és az adatfeldolgozó, valamint - ha van ilyen - az adatkezelő vagy az adatfeldolgozó képviselője feladatai végrehajtása során a felügyeleti hatósággal - annak megkeresése alapján - együttműködik. (74) Az általános adatvédelmi rendelet 35. cikk (1) bekezdése alapján: „(1) Ha az adatkezelés valamely - különösen új technológiákat alkalmazó - típusa, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az adatkezelő az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Olyan egymáshoz hasonló típusú adatkezelési műveletek, amelyek egymáshoz hasonló magas kockázatokat jelentenek, egyetlen hatásvizsgálat keretei között is értékelhetőek.” (75) Az általános adatvédelmi rendelet 35. cikk (3) bekezdésének c) pontja alapján: „(3) Az (1) bekezdésben említett adatvédelmi hatásvizsgálatot különösen az alábbi esetekben kell elvégezni: a) természetes személyekre vonatkozó egyes személyes jellemzők olyan módszeres és kiterjedt értékelése, amely automatizált adatkezelésen - ideértve a profilalkotást is alapul, és amelyre a természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések épülnek; b) a 9. cikk (1) bekezdésében említett személyes adatok különleges kategóriái, vagy a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelése; vagy c) nyilvános helyek nagymértékű, módszeres megfigyelése.” (76) Az általános adatvédelmi rendelet 35. cikk (4) bekezdése alapján: „(4) A felügyeleti hatóságnak össze kell állítania és nyilvánosságra kell hoznia az olyan adatkezelési műveletek típusainak a jegyzékét, amelyekre vonatkozóan az (1) bekezdés értelmében adatvédelmi hatásvizsgálatot kell végezni. A felügyeleti hatóság továbbítja az említett jegyzékeket a Testület részére.” (77) Az általános adatvédelmi rendelet 35. cikk (10) bekezdése szerint: „(10) Ha a 6. cikk (1)

bekezdésének c) vagy e) pontja szerinti adatkezelés jogalapját uniós vagy az adatkezelőre alkalmazandó tagállami jog írja elő, és e jog a szóban forgó konkrét adatkezelési műveletet vagy műveleteket is szabályozza, valamint e jogalap elfogadása során egy általános hatásvizsgálat részeként már végeztek adatvédelmi hatásvizsgálatot, akkor az (1)-(7) bekezdést nem kell alkalmazni, kivéve, ha a tagállamok az adatkezelési tevékenységet megelőzően ilyen hatásvizsgálat elvégzését szükségesnek tartják.”

(78) Az általános adatvédelmi rendelet 36. cikke alapján:

„(1) Ha a 35. cikkben előírt adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés az adatkezelő által a kockázat mérséklése céljából tett intézkedések hiányában valószínűsíthetően magas kockázattal jár, a személyes adatok kezelését megelőzően az adatkezelő konzultál a felügyeleti hatósággal.

(2) Ha a felügyeleti hatóság véleménye szerint az (1) bekezdés szerint tervezett adatkezelés megsértené e rendeletet - különösen, ha az adatkezelő a kockázatot nem elégséges módon azonosította vagy csökkentette -, a felügyeleti hatóság az adatkezelőnek és adott esetben az adatfeldolgozónak legkésőbb a konzultáció iránti megkeresés kézhezvételétől számított nyolc héten belül írásban tanácsot ad, továbbá gyakorolhatja az 58. cikkben említett hatásköreit. Ez a határidő - a tervezett adatkezelés összetettségétől függően - hat héttel meghosszabbítható. A felügyeleti hatóság a megkeresés kézhezvételétől számított egy hónapon belül tájékoztatja az adatkezelőt vagy adott esetben az adatfeldolgozót a meghosszabbításról és a késedelem okairól. Az említett időtartamok felfüggeszthetők arra az időtartamra, amíg a felügyeleti hatóság nem jut hozzá azokhoz az információkhoz, amelyeket adott esetben a konzultáció céljából kért. (3) Az adatkezelő a felügyeleti hatósággal folytatott, (1) bekezdés szerinti konzultáció során a felügyeleti hatóságot tájékoztatja: a) adott esetben az adatkezelésben részt vevő adatkezelő, közös adatkezelők és adatfeldolgozók feladatköreiről, különösen vállalkozáscsoporton belüli adatkezelés esetén; b) a tervezett adatkezelés céljairól és módjairól; c) az érintettek e rendelet értelmében fennálló jogainak és szabadságainak védelmében hozott intézkedésekről és garanciákról; d) adott esetben, az adatvédelmi tisztviselő elérhetőségeiről; e) a 35. cikk szerinti adatvédelmi hatásvizsgálatról; és f) a felügyeleti hatóság által kért minden egyéb információról. (4) A tagállamok konzultálnak a felügyeleti hatósággal minden, a személyes adatok kezeléséhez kapcsolódó, a nemzeti parlament által elfogadandó jogalkotási intézkedésre - vagy ilyen jogalkotási intézkedésen alapuló szabályozási intézkedésre irányuló javaslat előkészítése során. (5) Az (1) bekezdéstől eltérve a tagállami jog előírhatja, hogy az adatkezelők konzultáljanak a felügyeleti hatósággal, és szerezzék be a felügyeleti hatóság előzetes engedélyét akkor is, ha valamely közérdek alapján ellátandó feladat végrehajtásához kapcsolódóan kezelnek személyes adatokat, ideértve a személyes adatoknak a szociális védelemhez és a népegészségügyhöz kapcsolódó kezelését is.” (79) Az általános adatvédelmi rendelet 58. cikk (1) bekezdése értelmében: „A felügyeleti hatóság vizsgálati hatáskörében eljárva:

a) utasítja az adatkezelőt és az adatfeldolgozót, illetve adott esetben az adatkezelő vagy az adatfeldolgozó képviselőjét, hogy számára a feladatai elvégzéséhez szükséges tájékoztatást megadja; b) vizsgálatot folytat adatvédelmi auditok formájában; c) elvégzi a 42. cikk (7) bekezdésének megfelelően kiadott tanúsítványok felülvizsgálatát; d) értesíti az adatkezelőt vagy az adatfeldolgozót e rendelet feltételezett megsértéséről; e) hozzáférést kap az adatkezelőtől vagy az adatfeldolgozótól a feladatainak teljesítéséhez szükséges minden személyes adathoz és minden információhoz; és f) az uniós vagy tagállami eljárásjoggal összhangban hozzáférést kap az adatkezelő vagy az adatfeldolgozó bármely helyiségéhez, ideértve minden adatkezeléshez használt felszerelést és eszközt.”

(80) Az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a) pontja értelmében: „A felügyeleti hatóság korrekciós hatáskörében eljárva: a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit; (...)”

(81) Az általános adatvédelmi rendelet 83. cikk (1) – (5) bekezdései értelmében:

„(1) Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek. (2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke; b) a jogsértés szándékos vagy gondatlan jellege; c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés; d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket; e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések; f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke; g) a jogsértés által érintett személyes adatok kategóriái;

h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen részletességgel; i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban ugyanabban a tárgyban - elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés; j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség. (3) Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében - szándékosan vagy gondatlanságból - e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget. (4) Az alábbi rendelkezések megsértése - a (2) bekezdéssel összhangban - legfeljebb 10 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%-át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelő és az adatfeldolgozó tekintetében a 8., a 11., a 25-39., a 42. és a

43. cikkben meghatározott kötelezettségek; b) a tanúsító szervezet tekintetében a 42. és 43. cikkben meghatározott kötelezettségek; c) az ellenőrző szervezet tekintetében a 41. cikk (4) bekezdésében meghatározott kötelezettségek;

(5) Az alábbi rendelkezések megsértését - a (2) bekezdéssel összhangban - legfeljebb 20 000 000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

a) az adatkezelés elvei - ideértve a hozzájárulás feltételeit - az 5., 6., 7. és 9. cikknek megfelelően; b) az érintettek jogai a 12-22. cikknek megfelelően; c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő továbbítása a 44-49. cikknek megfelelően; d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek; e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.” (82) Az általános adatvédelmi rendelet 87. cikkének értelmében a tagállamok részletesebben meghatározhatják a nemzeti azonosító számok vagy egyéb általános jellegű azonosító jelek kezelésének konkrét feltételeit. Ebben az esetben a nemzeti azonosító számok, illetve az egyéb általános jellegű azonosító jelek felhasználására kizárólag az érintett jogainak és szabadságainak e rendelet szerinti megfelelő garanciái mellett kerülhet sor. (83) Az Infotv. 2. § (2) bekezdése értelmében „Személyes adatoknak az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) hatálya alá tartozó kezelésére az általános adatvédelmi rendeletet a III–V. és a VI/A. Fejezetben, valamint a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23–24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)–(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52–54. §-ban, az 55. § (1)–(2) bekezdésében, az 56–60. §-ban, a 60/A. § (1)–(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)–(10) bekezdésében, továbbá a 61/A–61/D. §-ban, a 62–71. §-ban, a 72. §-ban, a 75. § (1)–(5) bekezdésében, a 75/A. §-ban és az 1. mellékletben meghatározott kiegészítésekkel kell alkalmazni.”

(84) Az Infotv. 2. § (4) bekezdésére tekintettel: „Személyes adatoknak a (2) és (3) bekezdés hatálya alá nem tartozó kezelésére a) az általános adatvédelmi rendelet 4. cikkében, II-VI., és VIII-IX. fejezetében, valamint b) az e törvény III-V. és VI/A. Fejezetében, továbbá a 3. § 3., 4., 6., 11., 12., 13., 16., 17., 21., 23-24. pontjában, a 4. § (5) bekezdésében, az 5. § (3)-(5), (7) és (8) bekezdésében, a 13. § (2) bekezdésében, a 23. §-ban, a 25. §-ban, a 25/G. § (3), (4) és (6) bekezdésében, a 25/H. § (2) bekezdésében, a 25/M. § (2) bekezdésében, a 25/N. §-ban, az 51/A. § (1) bekezdésében, az 52-54. §-ban, az 55. § (1) és (2) bekezdésében, az 56-60. §-ban, a 60/A. § (1)-(3) és (6) bekezdésében, a 61. § (1) bekezdés a) és c) pontjában, a 61. § (2) és (3) bekezdésében, (4) bekezdés b) pontjában és (6)-(10) bekezdésében, továbbá a 61/A-61/D. §-ban,, a 62-71. §-ban, a 72. §-ban, a 75. § (1)-(5) bekezdésében és a 75/A. §-ban és az 1. mellékletben meghatározott rendelkezéseket kell alkalmazni.” (85) Az Infotv. 5. § (1) bekezdése alapján "(1) Személyes adat akkor kezelhető, ha a) azt törvény vagy – törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén – helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos. (86) Az Infotv. 5. § (5) bekezdése alapján: „(5) Ha a kötelező adatkezelés időtartamát vagy szükségessége időszakos felülvizsgálatát törvény, helyi önkormányzat rendelete vagy az Európai Unió kötelező jogi aktusa nem határozza meg, az adatkezelő az adatkezelés megkezdésétől legalább háromévente felülvizsgálja, hogy az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adat kezelése az adatkezelés céljának megvalósulásához szükséges-e. Ezen felülvizsgálat körülményeit és eredményét az adatkezelő dokumentálja, e dokumentációt a felülvizsgálat elvégzését követő tíz évig megőrzi és azt a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) kérésére a Hatóság rendelkezésére bocsátja.” (87) Az Infotv. 38. § (2) – (2a) bekezdései alapján:

„(2) A Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. (2a) Az általános adatvédelmi rendeletben a felügyeleti hatóság részére megállapított feladat- és hatásköröket a Magyarország joghatósága alá tartozó jogalanyok tekintetében az általános adatvédelmi rendeletben és e törvényben meghatározottak szerint a Hatóság gyakorolja.” (88) Infotv. 53. § (3) bekezdés szerint: „A Hatóság a bejelentést érdemi vizsgálat nélkül elutasítja, ha (…) g) a bejelentés tárgyában hatósági ellenőrzést végez vagy hatósági eljárást folytat”.

(89) Az Infotv. 55. § (1) bekezdés a) pontjának ab) alpontja alapján a Hatóság a vizsgálat hivatalból történő megindításától vagy a bejelentés érkezését követő naptól számított két hónapon belül megállapítja, hogy az általános adatvédelmi rendeletben és az e törvényben meghatározott jogok gyakorlásával kapcsolatban jogsérelem következett be, vagy annak közvetlen veszélye áll fenn, és a vizsgálatot lezárja, és a 60. § szerinti adatvédelmi hatósági eljárást indít. (90) Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az Ákr. szabályait kell alkalmazni az Infotv.-ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel. (91) Az Infotv. 60/A. § (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Az eljárási határidők alkalmazására egyebekben az Ákr. 52. §-át kell alkalmazni.

(92) Az Infotv. 61. § (1) bekezdése alapján: „Az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság a) a 2. § (2) és (4) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben az általános adatvédelmi rendeletben meghatározott jogkövetkezményeket alkalmazhatja, így különösen kérelemre vagy hivatalból elrendelheti a jogellenesen kezelt személyes adatok általa meghatározott módon végrehajtandó törlését, illetve átmenetileg vagy véglegesen egyéb módon korlátozhatja az adatkezelést, b) a 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben ba) megállapíthatja a személyes adatok jogellenes kezelésének tényét, bb) elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, bc) elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, bd) megtilthatja a személyes adatok jogellenes kezelését, be) megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, bf) elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen mellőzte vagy tagadta meg, valamint bg) bírságot szabhat ki, c) az általános adatvédelmi rendelet 41. cikk (1) bekezdésében meghatározott ellenőrzési tevékenységet végző szervezettel szemben az általános adatvédelmi rendelet 41. cikk (5) bekezdésében meghatározott jogkövetkezményeket alkalmazhatja.” (93) Az Infotv. 61. § (2) bekezdése szerint: „A Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.”

(94) Az Infotv. 61. § (3) bekezdése alapján a Hatóság eljárásában figyelmeztetés alkalmazása kizárt, ha a Hatóság a mérlegelésére vonatkozó előírások alapján bírság kiszabásának szükségességét állapítja meg. (95) Az Infotv. 61. § (7) bekezdése értelmében a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. (96) Az Infotv. 71. § (1) bekezdése alapján a Hatóság eljárása során - az annak lefolytatásához szükséges mértékben és ideig - kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (97) Az Infotv. 71. § (2) bekezdése szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. (98) Az Ákr. 5. § (1) bekezdése alapján az ügyfél az eljárás során bármikor nyilatkozatot, észrevételt tehet.

(99) Az Ákr. 6. §-a alapján az eljárás valamennyi résztvevője köteles jóhiszeműen eljárni és a többi résztvevővel együttműködni. Senkinek a magatartása nem irányulhat a hatóság megtévesztésére vagy a döntéshozatal, illetve a végrehajtás indokolatlan késleltetésére. Az ügyfél és az eljárás egyéb résztvevője jóhiszeműségét az eljárásban vélelmezni kell. A rosszhiszeműség bizonyítása a hatóságot terheli. (100) Az Ákr. 11. §- a alapján, ha az ügy személyes jellege vagy a kötelezettség tartalma nem zárja ki, a kieső ügyfél helyébe a polgári jog szabályai szerinti jogutódja lép. Ha az ügy tárgya dologi jogot érint, a kieső ügyfél helyébe az üggyel érintett dologi jog új jogosultja lép. (101) Az Ákr. 13. § (1)-(2) bekezdése alapján, ha törvény nem írja elő az ügyfél személyes eljárását, helyette törvényes képviselője, vagy az általa, illetve törvényes képviselője által meghatalmazott személy, továbbá az ügyfél és képviselője együtt is eljárhat. Jogi személy törvényes képviselőjének eljárása személyes eljárásnak minősül. (102) Az Ákr. 14. §-a alapján a meghatalmazott a képviseleti jogosultságát - ha azt a rendelkezési nyilvántartás nem tartalmazza - köteles igazolni. A meghatalmazást közokiratba vagy teljes bizonyító erejű magánokiratba kell foglalni vagy jegyzőkönyvbe kell mondani. Ha a meghatalmazásból más nem tűnik ki, az kiterjed az eljárással kapcsolatos valamennyi nyilatkozatra és cselekményre. Ha a képviseleti jogosultság visszavonás, felmondás vagy az ügyfél, illetve a meghatalmazott halála miatt megszűnik, a megszűnés a hatósággal szemben a hatóságnak való bejelentéstől, a többi ügyféllel szemben a velük való közléstől hatályos. (103) Az Ákr. 27. §-a alapján a hatóság az ügyfél és az eljárás egyéb résztvevője azonosításához szükséges természetes személyazonosító adatokat és az ügyfajtát szabályozó törvényben meghatározott személyes adatokat, továbbá - ha törvény másként nem rendelkezik - az eljárás eredményes lefolytatásához elengedhetetlenül szükséges más személyes adatokat kezeli. A hatóság gondoskodik arról, hogy a törvény által védett titok és törvény által védett egyéb adat (a továbbiakban együtt: védett adat) ne kerüljön nyilvánosságra, ne juthasson illetéktelen személy tudomására, és e védett adatok törvényben meghatározott védelme a hatóság eljárásában is biztosított legyen. A hatóság az eljárása során annak lefolytatásához - jogszabályban meghatározott módon és körben - kezeli azokat a védett adatokat, amelyek eljárásával összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. (104) Az Ákr. 33. § (1) bekezdése alapján az ügyfél az eljárás bármely szakaszában és annak befejezését követően is betekinthet az eljárás során keletkezett iratba. (105) Az Ákr. 33. § (4) bekezdése alapján az iratbetekintés során az arra jogosult másolatot, kivonatot készíthet vagy - kormányrendeletben meghatározott költségtérítés ellenében másolatot kérhet, amelyet a hatóság kérelemre hitelesít. (106) Az Ákr. 34. §-a értelmében nem lehet betekinteni a döntés tervezetébe. Nem ismerhető meg az olyan irat vagy az irat olyan része, amelyből következtetés vonható le valamely védett adatra vagy olyan személyes adatra, amely megismerésének törvényben meghatározott feltételei nem állnak fenn, kivéve, ha az adat - ide nem értve a minősített adatot - megismerésének hiánya megakadályozná az iratbetekintésre jogosultat az e törvényben biztosított jogai gyakorlásában. A hatóság a kérelem alapján az iratbetekintést biztosítja - az eljárás befejezését követően is -, vagy azt végzésben elutasítja.

(107) Az Ákr. 62. § (1) bekezdése szerint, ha a döntéshozatalhoz nem elegendőek a rendelkezésre álló adatok, a hatóság bizonyítási eljárást folytat le. (108) Az Ákr. 62. § (2) bekezdése alapján a hatósági eljárásban minden olyan bizonyíték felhasználható, amely a tényállás tisztázására alkalmas. Nem használható fel bizonyítékként a hatóság által, jogszabálysértéssel megszerzett bizonyíték. (109) Az Ákr. 62. § (4) bekezdése értelmében a hatóság szabadon választja meg a bizonyítás módját, és a rendelkezésre álló bizonyítékokat szabad meggyőződése szerint értékeli. (110) Az Ákr. 63. §-a szerint, ha a tényállás tisztázása azt szükségessé teszi, a hatóság az ügyfelet nyilatkozattételre hívhatja fel. (111) Az Ákr. 64. § (1) bekezdése szerint, ha jogszabály nem zárja ki, az ügyfél a nyilatkozatával pótolhatja a hiányzó bizonyítékot, ha annak beszerzése nem lehetséges. (112) Az Ákr. 64. § (2) bekezdése értelmében, ha az ügyfél vagy képviselője más tudomása ellenére az ügy szempontjából jelentős adatot valótlanul állít vagy elhallgat - ide nem értve, ha vele szemben az Ákr. 66. § (2) bekezdésében vagy (3) bekezdés b) és c) pontjában meghatározott ok áll fenn -, illetve ha a kötelező adatszolgáltatás körében az Ákr. 105. § (2) bekezdésében foglalt ok hiányában adatszolgáltatási kötelezettségét nem teljesíti, eljárási bírsággal sújtható. (113) Az Ákr. 65. § (1)-(2) bekezdései alapján a hatóság, ha a tényállás tisztázása során szükséges, és az a Dáptv. alapján nem szerezhető be – az Ákr. 36. § (2) bekezdésben meghatározottak kivételével - felhívhatja az ügyfelet okirat vagy más irat bemutatására. Ha törvény vagy kormányrendelet másként nem rendelkezik, az ügyfél az iratot másolatban is benyújthatja, ha nyilatkozik arról, hogy az az eredetivel mindenben megegyezik. (114) Az Ákr. 68. § (1) bekezdése alapján, ha a tényállás tisztázására ingó, ingatlan (a továbbiakban együtt: szemletárgy) vagy személy megtekintése vagy megfigyelése szükséges, a hatóság szemlét rendelhet el. (115) Az Ákr. 68. § (2)-(3) bekezdései szerint a szemletárgy birtokosát és az Ákr. 68. § (1)

bekezdésben meghatározott személyt - ha az a szemle eredményességét nem veszélyezteti - a szemléről előzetesen értesíteni kell. A szemletárgy birtokosának távolléte - ha jelenléte nem szükségszerű - nem akadálya a szemle megtartásának. (116) Az Ákr. 69. §-a tartalmazza a szemle lefolytatására vonatkozó rendelkezéseket, eszerint:

„(1) A szemle megtartása során - az ismert tulajdonos értesítésével egyidejűleg - a szemletárgy birtokosa kötelezhető a szemletárgy felmutatására, illetve arra, hogy az ügyfelet a szemle helyszínére beengedje. (2) A szemle során a hatóság eljáró tagja jogosult különösen a) a szemlével érintett területre, építménybe és egyéb létesítménybe belépni, b) bármely iratot, tárgyat vagy munkafolyamatot megvizsgálni, c) felvilágosítást kérni, illetve d) mintát venni.” (117) Az Ákr. 70. § (1)-(2) bekezdései alapján a szemle eredményes és biztonságos lefolytatása érdekében a hatóság a rendőrség közreműködését kérheti. A rendőrség a rendőrségről szóló törvény végrehajtási eljárás lefolytatásában való közreműködésre vonatkozó szabályai szerint, a hatóság felkérésére - előzetes megkeresése nélkül azonnal, a hatóság által megjelölt helyen és ideig biztosítja a közreműködést.

(118) Az Ákr. 76. §-a alapján, ha a hatóság az ügyben bizonyítási eljárást folytatott le, melynek során a hatóság nem biztosította, hogy az ügyfél minden bizonyítékot megismerjen, annak befejezését követően értesíti az ügyfelet, hogy - az iratokba való betekintés szabályai figyelembevételével - megismerhesse a bizonyítékokat, és további bizonyításra irányuló indítványt terjeszthessen elő. (119) Az Ákr. 77. § (1)-(2) bekezdéseiben foglaltak alapján azt, aki a kötelezettségét önhibájából megszegi, a hatóság az okozott többletköltségek megtérítésére kötelezi, illetve eljárási bírsággal sújthatja. Az eljárási bírság legkisebb összege esetenként tízezer forint, legmagasabb összege - ha törvény másként nem rendelkezik természetes személy esetén ötszázezer forint, jogi személy vagy egyéb szervezet esetén egymillió forint azzal, hogy az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és 83. cikke alapján a Hatóság az 58. cikk (1) bekezdésében előírt hozzáférés-biztosítási kötelezettség megsértése esetén legfeljebb 20 000 000 EUR vagy – vállalkozás esetében, ha az magasabb – az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%-át kitevő összegű bírsággal sújthatja az adatkezelőt, illetve az adatfeldolgozót az eset összes releváns körülményének mérlegelése alapján. (120) Az Ákr. 101. § (1) bekezdése alapján ha a hatóság a hatósági ellenőrzés során jogsértést tapasztal, a) megindítja az eljárást, vagy b) ha a feltárt jogsértés miatt az eljárás más szerv illetékességébe tartozik, annak eljárását kezdeményezi. (121) Az Ákr. 103. § (1) bekezdése alapján a hivatalbóli eljárásokban az Ákr.-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. VII. Fejezetében foglalt eltérésekkel kell alkalmazni. A 103. § (4) bekezdése szerint „Ha a hatóság a hivatalbóli eljárásban az ügyintézési határidő kétszeresét túllépi, a jogsértés tényének megállapításán és a jogellenes magatartás megszüntetésére vagy a jogszerű állapot helyreállítására kötelezésen túl egyéb jogkövetkezményt nem alkalmazhat. Ez esetben ugyanazon ügyféllel szemben, ugyanazon ténybeli és jogi alapon nem indítható új eljárás.” (122) Az Ákr. 105. §-a alapján a hivatalbóli eljárásban az ügyfél a hatóság erre irányuló felhívására köteles közölni az érdemi döntéshez szükséges adatokat. Törvény vagy kormányrendelet jogkövetkezményeket állapíthat meg az adatszolgáltatási kötelezettség elmulasztása vagy valótlan adatok közlése esetére. Az adatszolgáltatást az ügyfél akkor tagadhatja meg, ha arra a tanúvallomást megtagadhatná.

(123) Az Ákr. 108. §-a alapján: „(1) Ha a tényállás másként nem tisztázható vagy az jelentős késedelemmel járna, vagy a zár alá vétel mellőzése a tényállás tisztázásának sikerét veszélyeztetné, a hatóság jogosult valamely dolog birtokának a birtokos rendelkezése alóli elvonására (a továbbiakban: zár alá vétel). Nem vehető zár alá olyan dolog, amely a birtokosának élete, egészsége fenntartásához, illetve az életfeltételei fenntartásához egyébként nélkülözhetetlen jövedelemszerzéséhez szükséges. Az ilyen dolgot a hatóság lefoglalja, és a birtokos őrizetében hagyja, aki azt rendeltetésszerűen használhatja. (2) A zár alá vétel érdekében a dolog birtokosát fel kell szólítani, hogy a dolgot adja át. Nem kötelezhető a dolog átadására az, aki – a megtagadási okkal összefüggésben – a tanúvallomást megtagadhatja, vagy aki a védett adat tekintetében nem kapott felmentést a titoktartás alól. (3) Ha a dolog átadására köteles személy nem adja át a dolgot, a hatóság a zár alá vételt a rendőrség közreműködésével foganatosítja, és a dolog átadására köteles személyt eljárási bírsággal sújtja. (4) A zár alá vétel foganatosítására a szemle szabályai irányadóak azzal, hogy a szemletárgy birtokosa alatt a zár alá vett dolog birtokosát kell érteni. A zár alá vételre és a lefoglalásra egyebekben a bírósági végrehajtásról szóló törvény (a továbbiakban: Vht.) szabályait megfelelően kell alkalmazni.” (124) Az Ákr. 109. §-a alapján: „(1) A zár alá vételt és a lefoglalást a hatóság megszünteti, ha a) az elrendelésének oka megszűnt, b) a hatóság az eljárást megszüntette, vagy c) az ügy érdemében döntést hozott. (2) Ha törvény másként nem rendelkezik, a tényállás tisztázásához a továbbiakban már nem szükséges zár alá vett dolgot ki kell adni annak, akitől azt zár alá vették. Ha a hatóság más szerv hatáskörébe tartozó eljárást kezdeményez, az eljárás lefolytatásához szükséges zár alá vett iratokat és tárgyi bizonyítékokat átadja a megkeresett szervnek. (3) Ha a körülmények alapján nyilvánvaló, hogy az, akitől a dolgot zár alá vették, a dolog birtoklására nem jogosult, a hatóság a dolgot az arra jogos igényt bejelentő személynek adja ki. (4) Ha a dolog természetben már nem adható ki, a dolog előzetes értékesítéséből befolyt ellenértéket alapul véve, a kezeléséből, tárolásából eredő költséggel csökkentett, a megtérítés időpontjáig eltelt időre számított, a Ptk. szerinti késedelmi kamattal (a továbbiakban: törvényes kamat) növelt összeget kell megtéríteni. A jogosult az ezt meghaladó igényét a polgári jog szabályai szerint érvényesítheti. Ha a zár alá vétel alaptalan volt, a dolog előzetes értékesítéséből befolyt ellenérték a dolog kezeléséből, tárolásából eredő költséggel nem csökkenthető.” (125) Az eljárási költségekről, az iratbetekintéssel összefüggő költségtérítésről, a költségek megfizetéséről, valamint a költségmentességről szóló 469/2017. (XII. 28.) Korm. rendelet 2. § (1) bekezdés b) pontja alapján a hatóság az iratbetekintést az iratbetekintést kérő személy által meg nem ismerhető személyes és védett adatok megismerhetetlenné tételét követően biztosítja. (126) A hatósági letétről, valamint a közigazgatási hatósági eljárás során zár alá vett vagy lefoglalt dolgok tárolásáról és értékesítéséről szóló 18/2017. (XII. 15.) IM rendelet (a továbbiakban: IM rendelet) 18. §-a szerint: „(1) Az elektronikus úton rögzített adatot a hatóság adathordozóra történő rögzítés útján veszi zár alá. (2) Az (1) bekezdésben meghatározott esetben az adatokat olyan módon kell rögzíteni, hogy az adatok megváltoztatása utólag ne legyen lehetséges, illetve – ha az adathordozó jellege ezt nem teszi lehetővé – az adatokat olyan adatrögzítési eljárással kell rögzíteni, amely lehetőséget biztosít az adatok változatlanságának utólagos ellenőrzésére.” (127) Az Szsztv. 8. § (3) bekezdése szerint (hatályos: 2022. január 1-től): „(3) A szolgáltató az utasok, valamint a szolgáltató munkavállalói és megbízottai élete, személye, testi épsége, vagyontárgyai ellen irányuló jogsértő cselekmény felderítése, bizonyítása, továbbá a járművei, berendezései, eszközei, egyéb vagyontárgyai és a nemzeti vagyonba tartozó vagyontárgyak védelme érdekében – elektronikus biztonságtechnikai rendszeren keresztül működtetett testkamerán, valamint a gépjárműben elhelyezett, a jegyértékesítési terület megfigyelésére alkalmazott fedélzeti kamerán az (5)–(15) bekezdésben foglalt feltételekkel folytathat megfigyelést. A szolgáltató a megfigyelés során képfelvételt vagy kép- és hangfelvételt készít, valamint kezeli a rögzített képfelvételt vagy kép- és hangfelvételt. Testkamera esetében a szolgáltató biztosítja a testkamera viselője általi rögzítés indításának és befejezésének technikai lehetőségét.” (128) Az Szsztv. 8. § (5) bekezdése szerint (hatályos: 2022. január 1-től): „(5) A szolgáltató a (2) bekezdés szerinti képfelvételt és a (3) bekezdés szerinti képfelvételt vagy kép- és hangfelvételt (a továbbiakban együttesen: felvétel) a tulajdonában vagy jogszerű használatában lévő területén készíthet, így különösen: a) közforgalom számára nyitva álló helyen, b) vasúti pályahálózaton, c) jegy- és bérletértékesítő berendezésen és annak közvetlen környezetében, d) személyszállítási szolgáltatás céljára alkalmazott járművein, e) közösségi kerékpár gyűjtőállomásán, valamint f) közösségi autóbérlő rendszer személygépkocsijának belső terében.” (129) Az Szsztv. 8. § (9) bekezdése szerint (hatályos: 2023. 06. 26-tól): „(9) A szolgáltató a felvételt a rögzítéstől számított 16. napon törli.” (130) Az Szsztv. 8. § (11) bekezdése szerint (hatályos 2023. 06. 26-tól): „(11) Bíróság vagy hatóság erre irányuló megkeresése esetén a szolgáltató a felvételt haladéktalanul megküldi a megkereső részére. A szolgáltató a felvételt a bíróság vagy hatóság részére történő megküldést követő 90. napon törli, kivéve, ha a (13) bekezdés szerinti vizsgálat lefolytatása miatt, vagy a (12) bekezdés szerint az érintett által előterjesztett kérelemben megjelölt ok miatt a felvétel további megőrzése indokolt.” (131) Az Szsztv. 8. §-ának 2019. április 25-ig hatályos szövege:

„8. § (1) A vasút-, trolibusz-, autóbusz- és közösségi kerékpárállomáson a közforgalom számára nyitva álló helyen, a jegy- és bérletértékesítő berendezéseken, a megállóhelyen, kikötőben, valamint a személyszállító vasúti járművek, trolibuszok, az autóbuszok, a közösségi autóbérlő rendszer személygépkocsijai és a hajók, kompok belterében, a vasút-, trolibusz-, autóbusz- és közösségi kerékpár-állomáson, hajóállomáson és megállóhelyen található berendezések, a személyszállító vasúti járművek, trolibusz, autóbusz, közösségi kerékpáros rendszer eszközei, a közösségi autóbérlő rendszer személygépkocsijai a jegy- és bérletértékesítő berendezések és a hajók, kompok, továbbá az utasok, valamint a szolgáltató munkavállalói és megbízottai életének, személyének, testi épségének és vagyontárgyaik védelme céljából az információs önrendelkezési jogról és az információszabadságról szóló törvény szerinti adatvédelmi jogok érvényesítése mellett, továbbá e törvényben meghatározott korlátozó rendelkezések betartásával, a szolgáltató, a közlekedésszervező, valamint a vasút-, trolibusz-, autóbusz-, közösségi kerékpár- és hajóállomás vagy megállóhely, kikötő üzemeltetője (e szakasz alkalmazásában a továbbiakban együtt: szolgáltató) jogosult elektronikus biztonságtechnikai rendszeren keresztül megfigyelést folytatni, a megfigyelés során kép- és hangfelvételt készíteni, valamint a készített kép- és hangfelvételt kezelni. (2) A szolgáltató az (1) bekezdés szerinti elektronikus biztonságtechnikai rendszer alkalmazása esetén – a vakok és gyengénlátók számára is érzékelhető módon – köteles a) a vasút-, hajó-, trolibusz- és az autóbusz-állomás és megállóhely bejáratánál, b) a személyszállító vasúti járműre, hajóra, trolibuszra, és az autóbuszra való felszállásra szolgáló peronoknál, c) a személyszállító vasúti járművön, hajón, trolibuszon és az autóbuszon, d) közösségi kerékpár gyűjtőállomásán, e) a jegy- és bérletértékesítő berendezésen, valamint f) a közösségi autóbérlő rendszer személy gépkocsijainak belterében figyelemfelhívó jelzést és ismertetést elhelyezni az elektronikus biztonságtechnikai rendszer által folytatott megfigyelésről, amennyiben e helyeken az ismertetés elhelyezésére elegendő terület nem áll rendelkezésre, a rendszer által rögzített, személyes adatokat tartalmazó kép- és hangfelvétel készítésének, tárolásának céljáról, az adatkezelés jogalapjáról, a felvétel tárolásának helyéről, a tárolás időtartamáról, a rendszert alkalmazó (üzemeltető) személyéről, az adatok megismerésére jogosult személyek köréről, továbbá a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló törvénynek az érintettek jogaira és érvényesítésük rendjére vonatkozó rendelkezéseiről szóló ismertetés nyomtatott módon a vasúti pályaudvarokon, autóbusz-állomásokon, elektronikusan a szolgáltatók Üzletszabályzatában hozzáférhetővé tenni. (3) Nem alkalmazható elektronikus megfigyelőrendszer olyan helyen, ahol a megfigyelés az emberi méltóságot sértheti, így különösen mosdóban, illemhelyen. (4) A rögzített kép-, hang- vagy kép- és hangfelvételt felhasználás hiányában a rögzítéstől számított 16. napon meg kell semmisíteni vagy törölni kell. Felhasználásnak minősül, ha a rögzített kép-, illetve hangfelvétel bírósági vagy hatósági eljárásban bizonyítékként felhasználásra vagy bíróság, hatóság részére ilyen eljárás során benyújtásra kerül. (5) Akinek jogát vagy jogos érdekét a (4) bekezdés szerinti kép-, illetve hangfelvétel érinti, a rögzítéstől számított 15 napon belül jogának vagy jogos érdekének igazolásával kérheti, hogy a kép- illetve hangfelvételt annak kezelője ne semmisítse meg vagy ne törölje. (6) Bíróság vagy hatóság megkeresésére a rögzített kép-, illetve hangfelvételt a bíróságnak vagy a hatóságnak haladéktalanul meg kell küldeni. Ha a megkeresésre attól számított 72 órán belül, hogy a megsemmisítés vagy törlés mellőzését az (5) bekezdés alapján kérték, nem kerül sor, és a (4) bekezdésben meghatározott határidő letelt, a rögzített kép- illetve hangfelvételt meg kell semmisíteni, vagy törölni kell.” (132) Az Szsztv. 8. §-ának 2019. április 26-tól hatályos szövege az Európai Unió adatvédelmi reformjának végrehajtása érdekében szükséges törvénymódosításokról szóló 2019. évi XXXIV. törvény 109. § (1) bekezdése szerint: „8. § (1) A személyszállítási közszolgáltatást végző szolgáltató és az e szolgáltatás nyújtásához igénybe vett közlekedésszervező, vasút-, trolibusz-, autóbusz-, hajóállomás vagy megállóhely, kikötő üzemeltetője, valamint a 22. § (4a) bekezdése szerint működtetett közösségi kerékpáros rendszer vagy közösségi autóbérlő rendszer üzemeltetője (e § alkalmazásában a továbbiakban együtt: szolgáltató) az e szolgáltatással összefüggésben a járműveinek, a területén található berendezéseknek, eszközöknek, az utasoknak, valamint a szolgáltató munkavállalói és megbízottai életének, személyének, testi épségének és a nemzeti vagyon védelme céljából elektronikus biztonságtechnikai rendszeren keresztül kizárólag a (2)–(12) bekezdésben meghatározott feltételekkel folytathat megfigyelést, készíthet rögzített képfelvételt és kezelheti a rögzített képfelvételeket. (2) Szolgáltató az (1) bekezdés szerinti képfelvételt a tulajdonában vagy jogszerű használatában álló területen, a közforgalom számára nyitva álló helyen, a vasúti pályahálózaton, személyszállítási szolgáltatás céljára alkalmazott járművein, valamint a jegy- és bérletértékesítő berendezéseken készíthet. (3) Szolgáltató az (1) bekezdés szerinti elektronikus biztonságtechnikai rendszer alkalmazásáról köteles – a vakok és gyengénlátók, valamint idegen nyelvűek számára is értelmezhető módon – figyelemfelhívó jelzést, továbbá a személyes adatok kezeléséről tájékoztatást elhelyezni a) a vasút-, hajó-, trolibusz- és az autóbusz-állomás és megállóhely bejáratánál, b) a személyszállító vasúti járműre, hajóra, trolibuszra és az autóbuszra való felszállásra szolgáló peronoknál, c) a személyszállító vasúti járművön, hajón, trolibuszon és az autóbuszon, d) közösségi kerékpár gyűjtőállomásán, e) a jegy- és bérletértékesítő berendezésen, valamint f) a közösségi autóbérlő rendszer személygépkocsijának belső terében. (4) Ha a (3) bekezdésben meghatározott hely a tájékoztatás elhelyezésére nem alkalmas, a tájékoztatást a vasúti pályaudvaron, autóbusz-állomáson, a szolgáltató Üzletszabályzatában és honlapján kell hozzáférhetővé tenni. (5) Képfelvétel nem készíthető olyan helyen, ahol az az emberi méltóságot sértheti, így különösen mosdóban, illemhelyen.

(6) A képfelvételt a rögzítéstől számított 16. napon törölni kell, ha annak felhasználására bírósági vagy hatósági eljárásban nem kerül sor. (7) Akinek jogát vagy jogos érdekét a képfelvétel érinti, jogának vagy jogos érdekének igazolásával kérheti, hogy a felvételt annak kezelője ne törölje a (6) bekezdésben meghatározottak szerint. (8) Megkeresés esetén a képfelvételt haladéktalanul meg kell küldeni a bíróság vagy hatóság részére. (9) Ha a (7) bekezdés szerinti kérelmet nyújtottak be, és az azt követő 30 napon belül a (8) bekezdés szerinti megkeresés nem érkezik a szolgáltatóhoz, a felvételt törölni kell. (10) A szolgáltató az (1) bekezdésben meghatározott célból készített képfelvételt felhasználhatja a) a szolgáltatását igénybe vevő személyeket, b) a működtetésében lévő berendezések használóit, c) a szolgáltató munkavállalóit, megbízottjait, d) a kezelésében lévő területeken tartózkodó személyeket, illetve poggyászaikat, és e) a járműveket, berendezéseket és felszereléseket ért balesetek, káresetek körülményeinek, továbbá a szolgáltatónál tett panaszbejelentések kivizsgálásához. (11) A (10) bekezdés szerinti vizsgálat időtartamával, de legfeljebb 45 nappal a (6) bekezdésben meghatározott időtartam meghosszabbodik. (12) A vizsgálat során felhasznált képfelvételt a vizsgálat és az annak eredményeként tett intézkedések, illetve bírósági vagy hatósági eljárás esetén az azt lezáró határozat jogerőre emelkedését vagy véglegessé válását követő 15. napon törölni kell.” (133) Az Szsztv. 8. §-ának 2023.június 26-tól hatályos szövege az egyes közlekedési tárgyú törvények módosításáról szóló törvény 57. §-a alapján:

„(2) Az utasok, valamint a szolgáltató munkavállalói és megbízottai élete, személye, testi épsége, vagyontárgyai védelme, valamint a járművei, berendezései, eszközei, egyéb vagyontárgyai és a nemzeti vagyon védelme érdekében a) a szolgáltató az (5) bekezdésben meghatározott helyeken, valamint b) az (1) bekezdés a) és b) pontjában meghatározott szolgáltató – az a) ponton túlmenően – a jármű közlekedése során, a jármű közlekedésével közvetlenül érintett területen elektronikus biztonságtechnikai rendszeren keresztül, a (6)–(15) bekezdésben foglalt feltételekkel folytathat megfigyelést, készíthet rögzített képfelvételt, és kezelheti a rögzített képfelvételeket. (3) A szolgáltató – az utasok, valamint a szolgáltató munkavállalói és megbízottai élete, személye, testi épsége, vagyontárgyai ellen irányuló jogsértő cselekmény felderítése, bizonyítása, továbbá a járművei, berendezései, eszközei, egyéb vagyontárgyai és a nemzeti vagyonba tartozó vagyontárgyak védelme érdekében – elektronikus biztonságtechnikai rendszeren keresztül működtetett testkamerán, valamint a gépjárműben elhelyezett, a jegyértékesítési terület megfigyelésére alkalmazott fedélzeti kamerán az (5)–(15) bekezdésben foglalt feltételekkel folytathat megfigyelést. A szolgáltató a megfigyelés során képfelvételt vagy kép- és hangfelvételt készít, valamint kezeli a rögzített képfelvételt vagy kép- és hangfelvételt. Testkamera esetében a szolgáltató biztosítja a testkamera viselője általi rögzítés indításának és befejezésének technikai lehetőségét.” „(5a) Az (5) bekezdéstől eltérően a (3) bekezdésben meghatározott célból és feltételekkel működtetett testkamerán keresztül felvétel a járművet érintő baleset, illetve káreset bekövetkezése esetén – a baleset, illetve káreset körülményeinek rögzítése érdekében – a járművet érintő balesettel, illetve káresettel közvetlenül érintett területen is készíthető.” „(9) A szolgáltató a felvételt a rögzítéstől számított 16. napon törli.”

„(11) Bíróság vagy hatóság erre irányuló megkeresése esetén a szolgáltató a felvételt haladéktalanul megküldi a megkereső részére. A szolgáltató a felvételt a bíróság vagy hatóság részére történő megküldést követő 90. napon törli, kivéve, ha a (13) bekezdés szerinti vizsgálat lefolytatása miatt, vagy a (12) bekezdés szerint az érintett által előterjesztett kérelemben megjelölt ok miatt a felvétel további megőrzése indokolt. (12) A (10) bekezdés szerint benyújtott kérelmet követően a felvétel mindaddig nem törölhető, amíg a (11) bekezdés szerinti megkeresés meg nem érkezik a szolgáltatóhoz, vagy az érintett által a (10) bekezdés szerint előterjesztett kérelemben megjelölt indok miatt annak további kezelésére szükség van, de legfeljebb a kérelem beérkezését követő hat hónapig. A szolgáltató köteles a jelen bekezdés szerinti hat hónapos törlési határidőt megelőzően legalább 30 nappal tájékoztatni az érintettet a törlés időpontjáról, valamint köteles kérni az érintett arra vonatkozó nyilatkozatát, hogy kéri-e a felvétel további megőrzését. Ha az érintett a szolgáltató felhívására nem nyilatkozik, úgy a felvételt a jelen bekezdésben foglaltak szerint törölni kell. Ha az érintett nyilatkozata alapján – az abban megjelölt indok miatt – a felvétel további megőrzésére szükség van, úgy a nyilatkozatot a (10) bekezdés szerinti új kérelemnek kell tekinteni.” „(13a) Az (1) bekezdés a) és b) pontjában megjelölt szolgáltatók a (13) bekezdés alapján lefolytatott vizsgálatukhoz a (2) és (3) bekezdésben foglalt célból egymás felvételeit – a felvétel rendelkezésre bocsátására irányuló kérelem előterjesztését és a felvétel rendelkezésre bocsátását követően – felhasználhatják. A felvétel rendelkezésre bocsátása iránti kérelem akkor teljesíthető, ha a kérelmező szolgáltató igazolja a (13) bekezdés szerinti vizsgálati eljárás megindítását és azt, hogy a vizsgálat megfelelő lefolytatásához a felvétel szükséges. A felvétel rendelkezésre bocsátása iránti kérelem előterjesztésének módjára, a kérelem elbírálására és a felvétel rendelkezésre bocsátására vonatkozó részletes szabályokat – a személyes adatok kezelésére irányadó szabályok figyelembevételével – a szolgáltatók megállapodásban rendezik.” „(14) A (13) bekezdés szerint lefolytatott vizsgálat esetén a felvételt a vizsgálat lezárását követő 15. napon törölni kell. (15) Ha a szolgáltató által a (13) bekezdés szerint lefolytatott vizsgálat eredményeként bírósági vagy hatósági eljárás kezdeményezésére kerül sor, a szolgáltató a felvételt a bírósági vagy hatósági eljárást lezáró határozat jogerőre emelkedéséről vagy véglegessé válásáról szóló bírósági, hatósági tájékoztatás kézhezvételét követő 16. napon törli.” (134) Az Szsztv. 8. § (2) bekezdésének 2025.január 1-től hatályos szövege: „(2) Az utasok, valamint a szolgáltató munkavállalói és megbízottai élete, személye, testi épsége, vagyontárgyai védelme, valamint a járművei, berendezései, eszközei, egyéb vagyontárgyai és a nemzeti vagyon védelme érdekében a) a szolgáltató az (5) bekezdésben meghatározott helyeken, valamint b) az (1) bekezdés a) és b) pontjában meghatározott szolgáltató – az a) ponton túlmenően – a jármű közlekedése során, a jármű közlekedésével közvetlenül érintett területen elektronikus biztonságtechnikai rendszeren keresztül, a (6)–(15) bekezdésben foglalt feltételekkel folytathat megfigyelést, készíthet rögzített képfelvételt vagy kép- és hangfelvételt, és kezelheti a rögzített képfelvételeket vagy kép- és hangfelvételeket.”

VI. Döntés

(135) A Hatóság megállapította, hogy a Kötelezett jogelődje által végzett, a Határozat (1)

bekezdésében részletezett HÉV-megállóhelyek és HÉV-állomások területén végzett kamerás megfigyelés és rögzítés személyes adatok kezelésével is járt, illetve a Kötelezett által jelenleg is végzett kamerás megfigyelés jelenleg is személyes adatok kezelésével jár, azzal a különbséggel, hogy az egyes kamerák, amelyek korábban hangot is rögzítettek, 2024. november 27-e óta már nem rögzítenek [a hangrögzítés letiltása a kamerák vonatkozásában 2024. november 27-én került elrendelésre, erről a Hatóság naplófájl kimentést vett zár alá (ld.: NAIH-13678-5/2024. ügyiratszámon iktatott helyszíni szemléről készített jegyzőkönyv és a NAIH-13678-6/2024. ügyiratszámon iktatott zár alá vétel elrendeléséről szóló végzés)]. (136) Az adatkezelés során a Kötelezett jogelődje, majd 2025. január 1-jétől a Kötelezett határozta meg az általános adatvédelmi rendelet 4. cikk 1. pontja szerinti személyes adatok kezelésének célját és eszközeit, ezáltal az általános adatvédelmi rendelet 4. cikk 7. pontja alapján Kötelezett jogelődje 2024. december 31-ig adatkezelőnek minősült. A Kötelezett is adatkezelőnek minősül, hiszen a Kötelezett jogelődjének, majd a Kötelezettnek a tevékenysége során megvalósult a személyes adatok vagy személyes adatokat is tartalmazó adatállományok gyűjtése, rögzítése, rendszerezése, tárolása, megváltoztatása, lekérdezése, betekintése, felhasználása, továbbítása, törlése, illetve megsemmisítése. A Kötelezett jogelődjének, majd a Kötelezettnek a tevékenysége az általános adatvédelmi rendelet tárgyi hatálya alá tartozik.

VI.1. Az általános adatvédelmi rendelet 5. cikk (1) bekezdésének a) pontja szerinti átláthatóság elvének és az ahhoz kapcsolódó adatkezelői kötelezettségeknek a sérelme a 2020. november 30-tól 2024. december 31-ig terjedő időszakban (Rendelkező rész 1.1.

a) alpontja indokolása)

(137) Az általános adatvédelmi rendelet átláthatóság alapelvének meghatározása és preambulumának (39) bekezdése értelmében „ (…) A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. (…)” Az általános adatvédelmi rendelet (60) preambuluma alapján a tisztességes és átlátható adatkezelés alapelve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az átláthatóság azt a követelményt testesíti meg, hogy az adatalany követni tudja az adatai sorsát, hogy információja legyen az adatkezelés folyamatáról, az őt az adatkezelés kapcsán megillető jogokról. (138) Az érintettek számára 2020. november 30-tól 2024. november 27-ig terjedő időszakban a Hatóság megítélése szerint az őket érintő adatkezelés nem volt átlátható, ugyanis a Kötelezett által 2020. november 3-án közzétett Régi Adatkezelési Tájékoztató egészen 2024. november 27-ig nem tartalmazta a tájékoztatást arról, hogy mely HÉV-állomások és HÉV-megállóhelyek azok, amelyeken nem csak kép-, hanem hangfelvétel is készül. Egységes adatkezelési tájékoztató (Régi Adatkezelési Tájékoztató, az Utasítás 14. sz. melléklete) állt csak rendelkezésre, amely általánosságban rendelkezett a kamerás adatkezelésről, és rögzítette, hogy mind hangot, mind képet rögzít a kamerarendszereivel. A Kötelezett jogelődje ugyanis nem tett különbséget azon helyszínek között, ahol hangrögzítés is folyt, azoktól a helyszínektől, amelyeken nem folyt hangrögzítés, vagyis a Kötelezett jogelődje az összes HÉV-megállóban és HÉVállomáson ugyanazt az adatkezelési tájékoztatást alkalmazta, holott különbség volt az adatkezelésekben, és erre sem a Régi Adatkezelési Tájékoztatóban, sem a helyszíneken külön nem hívta fel az utasok, azaz az érintettek figyelmét.

(141) A Kötelezett jogelődje nem adott átlátható tájékoztatást az adatkezelés jogalapja kapcsán sem az érintetteknek, ugyanis nem megfelelően határozta meg az általa a megállókban üzemeltetett – a nem az Szsztv. 8. § (3) bekezdése szerinti célra testkamerákkal, és a jegyértékesítési terület megfigyelésére alkalmazott – kamerákkal folytatott adatkezelés (beleértve a hangrögzítés) jogalapját, ugyanis három eltérő jogalapot hivatkozott. Az adatkezelést egyrészt az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontja szerinti jogos érdekére alapította, másrészt hivatkozta a számára közfeladatot meghatározó, de hangrögzítés kapcsán előírást nem tartalmazó Szsztv. 8- 8/A. § szerinti kötelező adatkezelést. Az általános adatvédelmi rendelet szerinti jogalapok mellett a Régi adatkezelési tájékoztató kivonat 2. pontjában (ld.: NAIH-13200- 2/2024. ügyiratszámú nyilatkozat 3. sz. melléklete), amely a kép- és hangfelvételt rögzítő kamerákkal ellátott HÉV-megállókban és HÉV-állomásokon került kihelyezésre az utazóközönség számára, az Infotv. 5. § (1) bekezdés b) pontját is megjelölte jogalapként, amely jogalapra nem is hivatkozhatott volna Kötelezett jogelődje, hiszen Kötelezett jogelődjének adatkezelése az általános adatvédelmi rendelet rendelkezései alá tartozik, bűnüldözési célú adatkezelést Kötelezett jogelődje nem folytathatott, arra nem minősült felhatalmazott szervnek. Ezzel a Kötelezett jogelődje egyszerre két eltérő norma több jogalapját jelölte meg, mosott össze tájékoztatójában, így az érintett nem tudhatott meggyőződni az őt valójában megillető jogokról és azok terjedelméről. (142) A Kötelezett jogelődje előadta (ld.: NAIH-13678-4/2024. ügyiratszámú nyilatkozat), hogy a NAIH-4384-2/2021/V. ügyszámú döntésben foglaltakkal megegyezően a Kötelezett jogelődje álláspontja szerint a rögzítést nem végző kamera elhelyezése és a közvetített kép közvetlen megfigyelése a megfigyelést végző személy (például a rendőr, a biztonsági őr, a munkahelyi vezető, stb.) helyszíni jelenlétéhez hasonló. E személy helyettesítésére alkalmazott kameramegfigyelés, azaz a képek megismerése csak abban az esetben nem minősül adatkezelésnek, ha a megfigyelés során az alkalmazott technika nem kínál lehetőséget arra, hogy a megfigyelést végző személy többletinformáció birtokába jusson az érintett természetes személlyel kapcsolatban. A Kötelezett jogelődje előadta, hogy az érintett kamera útján történő megfigyelés ilyen többletinformációt nem biztosít. A Kötelezett jogelődjének Adatvédelmi és Adatbiztonsági Utasításáról szóló 30/2020 (VI.16.) VIG. sz. utasítása (a NAIH-13200- 2/2024. ügyiratszámú nyilatkozat 2. sz. melléklete) szerinti kivételi körbe tartozó kamera (ld.: Utasítás 30. oldala, 4.2.2.3. pont) a H5 (Szentendre) vonalnak az Aquincum megállóhelyén volt található, amely sem képet, sem hangot nem rögzít, kizárólag élőképes megfigyelést tesz lehetővé. A kamera forgalomtechnikai szempontok következtében került kialakításra. Az állomáson történő utascsere, le-és felszállások korlátozottan láthatóak a szerelvény vezetőfülkéjéből, ezért a járművezető egy élőkép segítségével tudja ellenőrizni a biztonságos ajtózárás feltételeit.

(143) A Hatóság azonban megállapította, hogy a HÉV-állomások és HÉV-megállóhelyek folyamatos és módszeres (élőképes) megfigyelése minőségében és hatásaiban is eltér az előző bekezdésben ismertetett forgalomtechnikai kamerától, az az általános adatvédelmi rendelet hatálya alá tartozó adatkezelésnek minősül a 4.

cikk 2. pontja alapján, különösen mivel a személyes adatokon (adatokkal) végzett bármely művelet, és külön megemlítve a betekintés is szerepel az ott felsorolt adatkezelési műveletek között, amely a vizsgált adatkezelés kapcsán megfeleltethető az élőképes megfigyelésnek. Az értelmezést tovább erősíti az általános adatvédelmi rendelet 35. cikk (3) bekezdés c) pontja is, amely kifejezetten nyilvános helyek megfigyelését értékeli a rendelet hatálya alá tartozó, magas kockázatú adatkezelésnek, nem a felvételek rögzítését. Az Európai Adatvédelmi Testületnek a személyes adatok videoeszközökkel történő kezeléséről szóló 3/2019. számú iránymutatása a 29. pontban tovább erősíti e következtetést: "A valós idejű megfigyelés néha magánszférára nagyobb behatással járó lehet, mint a felvételek tárolása és korlátozott idő utáni automatikus törlése (például magánszférára nagyobb behatással járó lehet, ha valaki folyamatosan nézi a monitort, mint ha egyáltalán nem is lenne monitor, és az összes felvételt automatikusan a feketedobozban tárolnák).” Az Utasítás tehát helytelenül értékelte az általános adatvédelmi rendelet hatálya alá nem eső tevékenységnek az adatkezelésnek ezen formáját. (144) A Régi Adatkezelési Tájékoztató, amelynek keletkezési dátuma 2020. november 3. volt (ez a dátum szerepel a Régi Adatkezelési Tájékoztató feltöltési idejeként (https://web.archive.org/web/20210415230528/https://www.mavhev.hu/hu/adatvedelmi-tajekoztatas), nem tartalmazta a Hatóság elérhetőségét helyesen. A Hatóság székhelyének módosítására 2020. szeptember 30-i dátummal került sor. A Hatóság a 1055 Budapest, Falk Miksa utca 9-11. szám alá költözött, előtte a 1125 Budapest, Szilágyi Erzsébet fasor 22/c. sz. alatt volt a székhelye, amely a Magyar Államkincstár Törzskönyvi Nyilvántartásában rögzítve van), amelyet a Régi Adatkezelési Tájékoztatóban a Kötelezett jogelődje nem korrigált egészen 2024. december 31-ig. A Régi Adatkezelési Tájékoztatót Kötelezett jogelődje 2020. november 3-tól 2024. december 31-ig egyszer módosította, mégpedig 2023-ban. (145) A Régi Adatkezelési Tájékoztató az Utasítás 14. sz. melléklete volt. A Régi Adatkezelési

Tájékoztatót Kötelezett jogelődje csupán egyszer módosította 2020. november 3-tól egészen 2024. december 31-ig, az Utasítást pedig annak hatálybalépésétől számítva összesen 4 alkalommal, (ld.: NAIH-1589-9/2025. ügyiratszámú nyilatkozat és mellékletei) azaz nem biztosította folyamatosan az érintettek részére az átláthatóság követelményeit. A hangrögzítés felfüggesztése kapcsán Kötelezett jogelődje szintén nem adott tájékoztatást az érintettek részére, az elérhető adatkezelési tájékoztatókban – minden megállóban egységesen, kis betűmérettel – változatlanul a kép- és a hangrögzítés szerepelt a 2024. november 27-től 2024. december 31-ig terjedő időszakban.

(146) A fentiek alapján a 2020. november 30-tól 2024. december 31-ig terjedő időszak tekintetében Kötelezett jogelődje az adatkezelése során több ízben és módon megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontjában foglalt átláthatóság elvének követelményét, különösen az adatkezelés terjedelme, jogalapja, és naprakészsége tekintetében.

VI.2. Az adatkezelés jogalapjának sérelme a kamerás megfigyelés képrögzítése vonatkozásában a 2020. november 30-tól 2024. december 31-ig terjedő időszakban

[Rendelkező rész 1.1. b) alpont indokolása]

(147) A MÁV-HÉV Zrt. az általa üzemeltetett kamerákhoz kapcsolódó adatkezelés kapcsán (beleértve a hangrögzítést is) az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontját, vagyis az adatkezelői jogos érdeket és az Szsztv. 8. §-át jelölte meg az adatkezelés jogalapjaként (ld.: A Kötelezett jogelődjének a 2022. szeptember 12-én küldött NAIH-7019-3/2022. ügyiratszámon iktatott válasza, 2022. december 1-jén küldött NAIH-7019-5/2022. ügyiratszámon iktatott válasza, és a 2023. október 4-én küldött, NAIH-8219-2/2023. ügyiratszámon iktatott válasza; Kötelezett jogelődjének NAIH- 13200-2/2024. ügyiratszámon iktatott, 2024. november 13-án kelt nyilatkozatának 3. pontja; Kötelezett jogelődjének NAIH-13678-4/2024. ügyiratszámú nyilatkozatának 9. pontja). Egyszerre tehát két, egy a képfelvételek vonatkozásában kötelező adatkezelést előíró jogszabályhelyet és egy adatkezelői döntésen alapuló jogalapot jelölt meg együttesen a Kötelezett jogelődje. A jogalapokkal kapcsolatban szükséges arra is rámutatni, hogy egy adatkezelési célhoz a gyakorlatban csak egy jogalap társítható annak érdekében, hogy az adatkezelő az adatvédelmi alapelveknek is megfeleljen. Nem fogadható el az, ha ugyanahhoz az adatkezelési célhoz különböző jogalapokat rendel az adatkezelő, minthogy a több jogalap egyidejű alkalmazása sérti az átláthatóság elvét, az érintett nem lehet tisztában azzal, hogy az adatkezelést előíró jogszabály szerinti feltételek alapján, vagy az adatkezelő által azonosított jogos érdek mentén kerül sor az őt érintő adatkezelésre, milyen korlátai, vagy lehetőségei vannak az adatkezelés kapcsán. (148) A közérdekű feladat ellátásához és közhatalom gyakorlásához szükséges adatkezelés mint adatkezelési jogalap kapcsán elmondható, hogy a hazai jogi környezet és az Alkotmánybíróság gyakorlata szerint az érintett alapvető jogai – így információs önrendelkezési joga is – csak a szükséges és arányos mértékben, valamely alapvető jog érvényesülése vagy valamely alkotmányos érték védelme érdekében, azaz közérdekből korlátozható. Ezért e jogalap alkalmazásához feltétel, hogy az adatkezelő közhatalmi feladat- és hatáskörének gyakorlásához, vagy egyéb közérdekből elvégzendő feladata végrehajtásához szükséges adatkezelési tevékenységét közérdeken alapuló célból jogszabály, vagy uniós norma alapozza meg. Ezen jogszabályi rendelkezés ugyanakkor sok esetben csak az adatkezelő közfeladatát, eljárási mozgásterét és kötelezettségét határozza meg, az ehhez kapcsolódó adatkezelési műveletek részletes szabályait nem. (149) Az adatkezelő közfeladatait meghatározó jogszabályi rendelkezéseken alapuló adatkezelések jogalapja tehát jellemzően az általános adatvédelmi rendelet 6. cikk (1) bekezdésének e) pontja. Ha a jogalkotó ezen adatkezelésekre vonatkozó részletes szabályokat az Infotv. 5. § (3) bekezdésének előírásait figyelmen kívül hagyva nem rögzítette, az adatkezelő az általános adatvédelmi szabályok – így különösen az alapelvek és a jogalap szükségességi mércéje – szerint köteles adatkezelési tevékenységét végezni, és annak jogszerűségét az elszámoltathatóság elvének megfelelően igazolni. Az Szsztv. 8-8/A. §-ai azonban meghatározták a közérdekű feladat ellátásához szükséges adatkezelés feltételeit, garanciáit. 2025. január elsejétől a fent vizsgált kamerás megfigyelés jogalapját az általános adatvédelmi rendelet 6. cikk (1) bekezdésének e) pontjában határozta meg Kötelezett is. (150) A Kötelezett jogelődje által üzemeltetett kamerák képének esetében tehát az adatkezelés jogalapja nem lehetett az adatkezelő jogos érdeke, tekintettel arra, hogy az állomások, megállóhelyek kamerás megfigyelése a Kötelezett jogelődjének közfeladatának ellátásához, végrehajtásához kapcsolódott, a jogalkotó továbbá az Szsztv.-ben egyértelműen meghatározta a kamerás megfigyeléssel kapcsolatos adatkezelés részletszabályait, garanciáit. Az adatkezelő jogos érdekének azonosítása, és az érdekek összevetése alapján az adatkezelő a közfeladataként meghatározott adatkezelési feltételektől eltérő eredményre juthat, a jogalkotói mérlegeléstől eltérhet mind a szükséges adatok köre, a megőrzési idejük, vagy a címzettek vonatkozásában is, ezzel az eltérő jogalapra hivatkozással a jogszabályi garanciális feltételeket kiüresíthetné, az adatkezelés céljának eléréséhez szükséges feltételeket szabadon kiegészíthetné saját mérlegelése szerint. Ekként a Kötelezett jogelődje által hivatkozott Szsztv. 8. § sem tartalmazott a hangrögzítés vonatkozásában a vizsgált időszakban közfeladatot – a 8. § (3) bekezdése szerinti, a testkamerák és a jegyértékesítési terület megfigyelésére alkalmazott fedélzeti kamerával történő, 2023. nyarától lehetővé tett hangrögzítést ide nem értve – azt a Kötelezett jogelődje hivatkozta kiterjesztően jogos érdekét alapul véve.

(151) A fentiek alapján a Hatóság megállapította, hogy a Kötelezett jogelődje a kamerás megfigyeléssel összefüggő adatkezelési tevékenysége során a 2020. november

30-tól 2024. december 31-ig napjáig terjedő időszakban megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését, mert az adatkezelés (megfigyelés és képfelvételek rögzítése) kapcsán nem megfelelő jogalapot azonosított, a közfeladatára visszavezethető adatkezelés kapcsán valós adatkezelői jogos érdeket és ezen érdekek összevetését az érintettek jogaival nem tudta igazolni, az összes megállóban kialakított adatkezelés kapcsán egyetlen érdekmérlegelést végzett, amelyben a szükségesség-arányosság-alkalmasság kérdését nem vizsgálta érdemben, nem vetette érdekeit össze az érintettek valós érdekeivel az érdekmérlegelési tesztjében sem.

VI.3. A Kötelezett jogelődje által kezelt adatok köre tekintetében az adattakarékosság elvének sérelme a 2020. november 30-tól 2024. november 27-ig terjedő időszakban

[Rendelkező rész 1.2. a) alpontja indokolása]

(152) Az adatkezelés célja szorosan összefügg a kezelt adatok körével, figyelemmel arra, hogy az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontjában meghatározott adattakarékosság elve szerint a kezelt személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk („adattakarékosság”). (153) A személyes adatok gyűjtésére, az érintett megfigyelésére (amely egy külön adatkezelési művelet) az általános adatvédelmi rendelet alapelvei kivétel nélkül alkalmazandóak, még akkor is, ha azokon más műveletet az adatkezelő a törlésüket megelőzően nem végez. Ennek megfelelően az adatgyűjtési műveletet is úgy szükséges kialakítani, hogy a cél eléréséhez szükséges legkevesebb adat kerüljön annak során kezelésre. Az adatkezelőnek még az adatkezelés tényleges megkezdése előtt vizsgálnia kell, hogy szükségesek-e, illetve mely adatok szükségesek az adott cél eléréséhez, és egyáltalán szükség van-e személyes adatok kezelésére az adott tevékenység végzéséhez. A Kötelezett jogelődje által hivatkozott adatkezelési jogalap, az adatkezelő jogos érdeke kapcsán az általános adatvédelmi rendelet a 6. cikk (1) bekezdés f) pontjában ismételten rögzíti ezen alapelv megvalósulásának vizsgálatát, hiszen a jogalap is csak akkor igazolható, ha „az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges”. (154) A Hatóság azon az állásponton van, hogy a magánszféra súlyosabb sérelmét okozza, ha a kamera a kép mellett hangot is továbbít, tekintettel – többek között – arra, hogy a hang továbbításának terjedelme nem szűkíthető le a jogszerűen megfigyelt terület határaira; egy HÉV-megállóhelyen személyes jellegű beszélgetések, telefonhívások hangozhatnak el, mivel a hangrögzítésre az érintett egy közterületi kamera láttán sem feltétlenül számít; és a közterületi hangrögzítés nem is feltétlenül alkalmas a jogsértések megelőzésére, utólagos igazolására. A Hatóság álláspontja alapján továbbá a hangfelvétel továbbítása a képfelvétel továbbításától eltérő adatkezelésnek minősül, amelynek a szükségességét, alkalmasságát, jogszerűségét külön kellett volna a Kötelezett jogelődjének vizsgálnia.

(155) A kamera beszerzési eljárások lebonyolítása során a hangfelvétel rögzítése nem volt szempont a Kötelezett jogelődjénél, minden esetben más műszaki paraméterek alapján történt a kamera kiválasztás, pl.: helyszínfüggő látószög, felbontás, elhelyezés, szerelési szempontok, valamint beszerzési ár. Amennyiben a beszerzett kamera technikailag képes volt a hang rögzítésére, úgy ezen alapbeállításokat meghagyva a hang is rögzítésre került a képfelvétellel együtt (ld.: NAIH-7019-5/2022. ügyiratszámú nyilatkozat, 2. pontja). Kötelezett jogelődje azzal indokolta a hangfelvétel fontosságát, hogy a hangfelvétel a Kötelezett jogelődje számára fontos alapot képezhet utaspanasz kivizsgálása, a munkatársak, illetve az utasok jogainak védelme érdekében. A Kötelezett jogelődjének vonalain kiterjedt rendészeti szolgálat működött. A személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi

CXXXIII. törvény rendelkezik a vagyonőr intézkedése során fontos elvekről, úgymint jogszerűség, időszerűség és arányosság. A hangfelvétel ezen feltételek fennállását egyértelműen igazolhatja vagy cáfolhatja egy intézkedés során. Mindezekre az Szsztv.

8. § (1) bekezdése adott lehetőséget Kötelezett jogelődje szerint. Amennyiben a beszerzett kamera technikailag képes volt a hang rögzítésére, úgy ezen funkcióját a Kötelezett jogelődje használta is (ld.: NAIH-7019-5/2022. ügyiratszámú nyilatkozat

3. pontja). (156) A Kötelezett jogelődje által üzemeltetett kamerák nem mindegyike volt alkalmas a hangrögzítésre, azonban valamennyi olyan eszköz esetében be volt kapcsolva a nevezett funkció, amely erre alkalmas. (ld.: NAIH-8219-2/2023. ügyiratszámú nyilatkozat 1. pontja, 2023. október 4.) Ez a nyilatkozat azt támasztja alá, hogy tekintet nélkül a szükségesség kérdésére, valamennyi kameránál alkalmazták a hangrögzítési funkciót, ahol erre az eszköz adott volt, előzetes adatvédelmi hatásvizsgálat, alkalmasság és arányosság mérlegelés végzése nélkül, annak ellenére, hogy 2019.

április 26-tól a jogszabály erre nem adott sem lehetőséget, sem közfeladat meghatározást. A Kötelezett jogelődje kifejtette azt is (ld.: NAIH-8219-2/2023.

ügyiratszámú nyilatkozat 1. pontja, 2023. október 4.), hogy a jövőben valamennyi megállóba hangrögzítésre is képes kamerákat kívánnak telepíteni, egyelőre azonban a szűkös költségvetési keret okán csupán 11 db megállóhelyre, állomásra volt lehetőség ilyen eszközök telepítésére. Ez a nyilatkozat megfelel annak a ténynek, hogy 2023. december 11-én további 8 helyszínre telepítettek hangrögzítést is végző kamerákat, ezzel 2023. december 11-től már összesen 19 helyszínen működtek hangrögzítést is végző kamerák, egészen 2024. november 27-ig. A nyilatkozatból nem derül ki, hogy mi indokolta azt, hogy mindenképpen hangrögzítési funkcióval ellátott kamerák kellenének további 8 HÉV-állomásra, Kötelezett jogelődje milyen konkrét jogsértések bekövetkeztére, utaspanaszokra, statisztikai adatokra alapozva kezdte meg azok alkalmazását, illetve a HÉV-megállóhelyre a jogszabályi változás, a hangrögzítés lehetőségének 2019. évi kivezetése ellenére a szükségesség-arányosság-alkalmasság kérdését miért nem vizsgálta érdemben az érdekmérlegelési tesztjében sem. (157) Az a tény, hogy a Kötelezett jogelődje az általa beszerzett és üzemeltetett, a hangrögzítésre technikailag alkalmas kamerák esetében a hangrögzítés funkciót korlátozás nélkül, a kamerák látóterébe belépő minden potenciális érintettre (köztük értelemszerűen kiskorú gyermekekre is) kiterjedően használta, és a képfelvétellel együtt a hangot is rögzítette, a Hatóság megítélése szerint nem volt a Kötelezett jogelődje által közfeladata ellátása keretében elérendő célokhoz sem szükséges, sem azzal arányos. Az Szsztv. 8. § (1) bekezdése 2019. április 26. előtt hatályos szövege – amely rögzítette, hogy a szolgáltató „jogosult elektronikus biztonságtechnikai rendszeren keresztül megfigyelést folytatni, a megfigyelés során kép- és hangfelvételt készíteni, valamint a készített kép- és hangfelvételt kezelni” – az általános adatvédelmi rendelet alapelvi elvárásaival összefüggésben felülvizsgálatra került, és az adattakarékosság elvét is figyelembe véve megszűnt a hangrögzítés lehetősége. A korábbi törvényi felhatalmazás helyett az általános adatvédelmi rendelet jogalaprendszerével egyező módon a közfeladat ellátásához kapcsolódó garanciális feltételként rögzítette a jogalkotó 2019. április 26. napjától, hogy „a szolgáltató munkavállalói és megbízottai életének, személyének, testi épségének és a nemzeti vagyon védelme céljából elektronikus biztonságtechnikai rendszeren keresztül kizárólag a (2)–(12) bekezdésben meghatározott feltételekkel folytathat megfigyelést, készíthet rögzített képfelvételt és kezelheti a rögzített képfelvételeket.” A Kötelezett jogelődje a hangrögzítés megkezdésekor ezen jogszabályi változásokat nem vette figyelembe, a jogalkotó által lefolytatott mérlegelést figyelmen kívül hagyva, saját döntése alapján túlterjeszkedett a közfeladatához szükséges mértékű adatkezelésen. 2023. június 26-tól a jogalkotó számos új garanciális szabály mellett rögzítette, hogy a szolgáltató a 8. § (3) bekezdése szerinti szűk esetkörben testkamerával, valamint a gépjárműben elhelyezett, a jegyértékesítési terület megfigyelésére alkalmazott fedélzeti kamerával kép-, és hangrögzítést is folytasson, ezen körbe a többlet adatkezelést indokoltnak ítélte meg a közfeladatot ellátó személyek és kiemelt kockázatot jelentő pénzforgalmi helyek védelme érdekében, szemben a (2) bekezdés szerinti célból a megállóhelyek, állomások területén történő hangrögzítés Kötelezett jogelődje által vélt szükségességével. (158) Noha az Szsztv. 8. § (2) bekezdése 2025. január 1. napjától ismét változott, és újból tartalmazza egy egyszavas kiegészítés eredményeként a hangrögzítést lehetőségét is, ahhoz a jogalkotói indokolás mindössze arra szorítkozott, hogy a technológia lehetőséget biztosít a hangrögzítésre, annak alapjogi megfelelősségét, adatvédelmi szempontjait nem értékelte. A jogalkotó emellett elmulasztotta kiegészíteni a 8. § (5) bekezdésében a (2) bekezdése szerinti célból folytatott képrögzítést ezen ismét bevezetett hangrögzítési lehetőséggel, tehát az továbbra is megszorító értelmezést ad a hangrögzítés vonatkozásában. (159) A Kötelezett jogelődje nyilatkozata alapján 2022. november 30. napján az alábbi 9 db

HÉV-állomáson és HÉV-megállóban elhelyezett és a Kötelezett jogelődje által önállóan üzemeltetett kamerákkal folytatott megfigyelést, melynek keretében kép- és hangfelvételt készített: Aquincum (H5 vonal); Szigetcsép, József Attila telep, Közvágóhíd (H6 vonal); Csepel állomás (H7 vonal); Kerepes, Örs vezér tere, Szilasliget, Kistarcsa (H8 vonal) [Ld.: Kötelezett jogelődjének 2022. december 1-jén kelt, NAIH-7019-5/2022. ügyiratszámú nyilatkozata] Itt a Hatóság megjegyzi, hogy ez a nyilatkozat nem áll összhangban a Kötelezett jogelődjének NAIH-13678-4/2024. ügyiratszámú nyilatkozatával, amelyben a megküldött táblázat szerint Aquincum és Csepel HÉVmegállóhelyeken csak 2022. december 12-től helyezték üzembe a hangrögzítést is végző kamerákat. Elképzelhető, hogy az eltérés oka az, hogy már előre tudták, hogy be lesz üzemelve ezen két HÉV-megállóhelyen a kamerarendszer, és így a Kötelezett jogelődjének 2022. december 1-jén kelt, NAIH-7019-5/2022. ügyiratszámú nyilatkozatába belefoglalták azokat. A Hatóság ezen következtetését a Kötelezett NAIH- 1589-9/2025. ügyiratszámú nyilatkozatának 4) pontja teljes mértékben alátámasztja: „A Táraság nyilvántartása szerint Aquincum és Csepel megállóhelyeken 2022. december 12-től lett üzembe helyezve a kamerarendszer. Az eltérés vélhetőleg abból fakadhat, hogy 2022. november 30. napján már telepítés alatt voltak a kamerák, de végleges üzembe helyezésük csak pár nappal később történt meg.”

(160) A Kötelezett jogelődje 2023. október 4. napján az alábbi 11 db HÉV-állomáson és HÉVmegállóban elhelyezett és a Kötelezett jogelődje által önállóan üzemeltetett kamerákkal folytatott megfigyelést, melynek keretében kép- és hangfelvételt készített: Aquincum, Budakalász, Pomáz (H5 vonal); Szigetcsép, József Attila telep, Közvágóhíd (H6 vonal); Csepel állomás (H7 vonal); Kerepes, Örs vezér tere, Szilasliget, Kistarcsa (H8 vonal) [Ld.: Kötelezett jogelődjének 2023. október 4-én kelt, NAIH-8219-2/2023. ügyiratszámú nyilatkozata]

(161) A Kötelezett jogelődjének 2024. november 13. napján és 2024. december 6-án kelt nyilatkozata alapján 2024. november 27-ig (ld.: NAIH-13678-4/2024. ügyiratszámú nyilatkozat 2. és 6. pontja és a helyszíni szemléről készített NAIH-13678-5/2024. ügyiratszámú jegyzőkönyv 4. oldala) az alábbi 19 db HÉV-állomáson és HÉVmegállóban elhelyezett és a Kötelezett jogelődje által üzemeltetett kamerákkal folytatott megfigyelést, melynek keretében kép- és hangfelvételt készített: Aquincum, Budakalász, Pomáz, Szentlélek tér (H5 vonal); Szigetcsép, Pesterzsébet felső, Dunaharaszti küldő, Szigetszentmiklós-gyártelep, József Attila telep, Közvágóhíd (H6 vonal); Csepel állomás (H7 vonal); Kerepes, Örs vezér tere, Szilasliget, Csömör, Mogyoród, Kistarcsa kórház, Zsófialiget, Kistarcsa (H8 vonal) [Ld.: Kötelezett jogelődjének NAIH-13200-2/2024. ügyiratszámon iktatott, 2024. november 13-án kelt nyilatkozata.] (162) Fentiek szerint a Kötelezett jogelődje a 2020. november 30-tól 2024. november 27ig terjedő időszak tekintetében megsértette az adattakarékosság elvét [általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja], ugyanis nem vizsgálta és nem igazolta, hogy nem létezett az általa meghatározott célok elérésére megfelelő, azonban az érintettek személyes adatait kímélő módszer, a személyes adatok kezelése nem korlátozódott a Kötelezett jogelődje által azonosított célokhoz valóban szükséges mértékre, céljai szempontjából (például utaspanasz szerint vagy vagyonvédelmi szempontból) kiemelt területekre és Kötelezett jogelődje által választott és alkalmazott módszer nem volt igazolhatóan alkalmas a kívánt cél elérésére.

VI.4. Az adatkezelés jogalapjának sérelme a kamerás megfigyelés élő hangtovábbítása és hangrögzítése vonatkozásában a 2020. november 30-tól 2024. november 27-ig terjedő időszakban [Rendelkező rész 1.2. b) alpont indokolása]

(163) A MÁV-HÉV Zrt. az általa üzemeltetett kamerákhoz kapcsolódó adatkezelés (beleértve a hangrögzítést is) az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontját, vagyis a jogos érdekét, továbbá az Szsztv. 8. §-át jelölte meg az adatkezelés jogalapjaként. (ld.: A Kötelezett jogelődjének a 2022. szeptember 12-én küldött NAIH- 7019-3/2022. ügyiratszámon iktatott válasza, 2022. december 1-jén küldött NAIH-7019- 5/2022. ügyiratszámon iktatott válasza, és a 2023. október 4-én küldött, NAIH-8219- 2/2023. ügyiratszámon iktatott válasza; Kötelezett jogelődjének NAIH-13200-2/2024. ügyiratszámon iktatott, 2024. november 13-án kelt nyilatkozatának 3. pontja; Kötelezett jogelődjének NAIH-13678-4/2024. ügyiratszámú nyilatkozatának 9. pontja). A hangrögzítés tényét igazolják a Kötelezett jogelődje által tett nyilatkozatok (Kötelezett jogelődjének 2022. december 1-jén kelt, NAIH-7019-5/2022. ügyiratszámú nyilatkozata, Kötelezett jogelődjének 2023. október 4-én kelt, NAIH-8219-2/2023.

ügyiratszámú nyilatkozata,

Kötelezett jogelődjének

NAIH-13200-2/2024.

ügyiratszámon iktatott, 2024. november 13-án kelt nyilatkozata, Kötelezett jogelődjének NAIH-13678-4/2024. ügyiratszámú nyilatkozat 2. pontja), valamint a NAIH-7398-2/2022. ügyiratszámon iktatott, 2022. szeptember 22-én előzetes értesítés nélkül a Kerepesi Polgármesteri Hivatalnál lefolytatott helyszíni szemléről készített jegyzőkönyv, amely rögzíti, hogy a Szilasligeti HÉV-megálló 3 kamerája által rögzített felvételeket a Hatóság munkatársai kimentették. A kimentés során tapasztalták a Hatóság munkatársai, hogy a HÉV kamerái folyamatosan hangot is rögzítenek (ld.: NAIH-7398-2/2022. ügyiratszámú jegyzőkönyv 10. oldala). A jegyzőkönyv (annak mellékletei nélkül) a jelen adatvédelmi hatósági eljárásba átemelésre került a NAIH- 1589-8/2025-ös ügyiratszámú végzés útján. A 3 kamera összesen 7 db felvételét mentették ki a Hatóság munkatársai, melyek az alábbiak: D20_20220914093840.mp4, D20_20220914104405.mp4, D21_20220914093510.mp4, D21_20220914104034.mp4, D22_20220914071240.mp4, D22_20220914092331.mp4, D22_20220914102855.mp4. A DVC elnevezésű kamera felvételeiből 2 db-ot, a Túlsó Peron 1 kamera felvételeiből 2 db-ot, a Tulso Kzép kamera felvételeiből 3 db-ot mentett ki a Hatóság. Valamennyi felvétel 2022. szeptember 14-i, azaz a helyszíni szemlével azonos dátumú, és mindegyik délelőtti felvétel. (164) A 2020. november 26-i keltezésű érdekmérlegelési teszt (NAIH-7019-5/2022. és a NAIH- 8219-2/2023. ügyiratszámokon becsatolva) nem eszközönként vagy megállóhelyenként, állomásonként, megfigyelt területenként vizsgálta az adatkezelés szükségességét, nem tárta fel érdemben az érintettek jogainak mibenlétét a hangrögzítés és megfigyelés kapcsán, jogsérelem közvetlen és valós bekövetkezését minden hangsávval megfigyelt megállóhely vonatkozásában egy tesztben kívánta általánosságban igazolni, ezáltal nem tudott valós mérlegelést adni, így jogalapot igazolni az adatkezeléshez. Az Európai Unió Bírósága a C-708/18 (2019. december 11.) TK v Asociaţia de Proprietari bloc M5A- ScaraA ítélet 50-52. és 56-58. pontjaiban megállapítja, hogy az adatkezelő jogos érdekére alapított adatkezelés kapcsán a felek érdekeinek esetről esetre történő súlyozása vagy összevetés szükséges, figyelembe kell venni, hogy valóban minden időszakban és minden területre kiterjedően kell-e megfigyelést folytatnia az adatkezelőnek, és a „súlyozás szempontjából szintén relevánsak az érintett személy azon észszerű elvárásai, hogy személyes adatait nem fogják kezelni, ha az adott ügy körülményei között ez a személy észszerűen nem számíthat az ilyen adatok későbbi kezelésére.” Ezzel összefüggésben releváns, hogy a jelen Határozat rendelkező részének 1.1. a) alpontja megállapítja az értékelt adatkezelés kapcsán az átláthatóság sérelmét is, tehát valamely a megállóhelyen tartózkodó, kommunikáló érintett nem számíthatott észszerűen az ő hangját is érintő megfigyelésre, rögzítésre. (165) A Hatóság a felek jogos érdekének eléréséhez szükséges adatkezelések azonosítása kérdéskörében felhívja a figyelmet az Európai Unió Bírósága C-394/23. sz. ügyben (2025. január 9.) hozott ítéletére is, amelyben szintén egy (tömeg)közlekedési vállalat kapcsán rögzítette, hogy egy adatkezelés nem tekinthető olyannak, mint amely a jogos érdekeknek az adatkezelő vagy harmadik személy általi érvényesítéséhez szükséges, amennyiben ezen adatok gyűjtése során nem tájékoztatták ezen ügyfeleket a fennálló jogos érdekről; vagy az említett adatkezelés nem a jogos érdek érvényesítéséhez feltétlenül szükséges határokon belül történik; vagy a releváns körülmények összességére tekintettel az említett ügyfelek alapvető jogai és szabadságai (…) elsőbbséget élvezhetnek az említett jogos érdekkel szemben. (166) A Kötelezett jogelődjének érdekmérlegelési tesztje ugyanakkor tanúsítja, hogy a Szilasligeti HÉV-megállóban már 2020. november 26-án is tervezett volt a hangrögzítés, sőt, a hangrögzítési gyakorlatról már a MÁV-HÉV Zrt. 30/2020 (VI.16.) VIG. számú Adatvédelmi és adatbiztonsági utasítás is rendelkezett általánosságban (ld.: NAIH- 13200-2/2024. ügyiratszámú nyilatkozat melléklete) 2020. június 16-án, azonban a hangrögzítés 3 helyszínen 2020. november 30-tól állt csak fenn a Kötelezett jogelődjének nyilatkozata alapján (NAIH-13678-4/2024. ügyiratszámú nyilatkozat 2. pontja), továbbá a Hatóságnak további bizonyítéka, azaz kamerafelvételei vannak 2022. szeptember 14-i dátummal a Szilasligeti HÉV-megállóból, amely igazolja azt a tényt, hogy hangrögzítés is történt a kamerarendszerek útján [ld.: a 2022. szeptember 14-i helyszíni szemle és az ott készült jegyzőkönyv (NAIH-7398-2/2022)] ezért a Hatóság 2020. november 30-tól vizsgálta a Kötelezett jogelődjének, illetve Kötelezettnek a HÉVállomásokon, illetve HÉV-megállóhelyeken végzett hangrögzítési gyakorlatát. A rendszer naplófájlok szerint a hangrögzítés letiltása a kamerák vonatkozásában 2024. november 27-én került elrendelésre, erről a Hatóság naplófájl kimentést vett zár alá (ld.: NAIH-13678-5/2024. ügyiratszámon iktatott helyszíni szemléről készített jegyzőkönyv és a NAIH-13678-6/2024. ügyiratszámon iktatott zár alá vétel elrendeléséről szóló végzés.) A Hatóság a fentiekre tekintettel a Kötelezett jogelődjének, illetve Kötelezettnek a tényleges hangrögzítési gyakorlatát 2020. november 30-tól 2024. november 27-ig terjedő időszakban vizsgálta. (167) A Kötelezett jogelődje 2020. november 30-tól az alábbi időpontoktól kezdve, egészen 2024. november 27-ig, azaz 3 nap híján 4 éven keresztül a jelen határozat tényállási részében szereplő táblázatban (ld.: (1) bekezdés) feltüntetett HÉVállomásokon, HÉV-megállóhelyeken telepített, hangrögzítést is végző kamerarendszerekkel végzett kamerás (képpel és hanggal együtt) megfigyelést az Szsztv. 2019. április 26-án történt garanciális módosítása, tiltása ellenére, így az nem volt a Kötelezett jogelődjének közfeladata ellátásához szükséges adatkezelés.

(168) A kamerák hangrögzítésének 2024. november 27-én történt leállítása időben egybeesik azzal, hogy a Hatóság 2024. november 26-án indította meg hivatalból a hatósági eljárást és egyúttal előzetes értesítés mellett helyszíni szemlét rendelt el. (169) A fentiek alapján a Hatóság megállapította, hogy a Kötelezett jogelődje a 2020.

november 30-tól 2024. november 27. napjáig terjedő időszakban a közfeladatán túlterjeszkedve, az Szsztv. 2019. április 26-tól hatályos szövegében már nem szereplő hangrögzítést és hangot is továbbító megfigyelést valósított meg egyes kamerarendszereivel, amelyhez sem közfeladatát, sem adatkezelői jogos érdekeinek elsőbbségét nem tudta igazolni az érintettek jogaival szemben. Ezzel megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését, a hangrögzítés és hanggal együtt történő megfigyelés vonatkozásában a Kötelezett jogelődje a személyes adatok kezeléséhez megfelelő jogalapot nem tudott igazolni, és ilyet a Hatóság sem tudott hivatalból megállapítani a hangrögzítés és hangtovábbítás vonatkozásában, vagyis adatkezelését jogalap nélkül végezte a fenti időszak alatt.

VI.5. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyen hozzáférhető tájékoztatás követelményének sérelme a 2020. november 30-tól 2024.

november 27-ig terjedő időszak vonatkozásában [Rendelkező rész 1.2. c) alpont indokolása]

(170) Az általános adatvédelmi rendelet 12. cikk (1) bekezdése előírja azt, hogy az adatkezelő megfelelő intézkedéseket hozzon annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, az általános adatvédelmi rendelet 13. és a 14. cikkben említett valamennyi információt és az általános adatvédelmi rendelet 15-22. és 34. cikk szerinti minden egyes tájékoztatást – többek között – könnyen hozzáférhető, közérthető és világos formában nyújtsa. (171) Az Európai Adatvédelmi Testület által 2018. május 25. után is fenntartott, a 95/46/EK irányelv 29. cikke alapján létrehozott adatvédelmi munkacsoportnak az (EU) 2016/679 rendelet szerinti átláthatóságról szóló WP260 rev.01. számú (2018. április 11.) iránymutatás 11. pontja az általános adatvédelmi rendelet 12. cikkének tartalma kapcsán kifejti, hogy „a „könnyen hozzáférhető” elem azt jelenti, hogy az érintettnek nem kell keresnie a tájékoztatást; azonnal láthatónak kell lennie számára, hogy a tájékoztatást hol és miként érheti el, például a tájékoztatás közvetlen biztosításával, az érintettek tájékoztatáshoz irányításával, a tájékoztatáshoz vezető út egyértelmű jelölésével vagy egy természetes nyelvű kérdésre adott válaszként”. (172) Az általános adatvédelmi rendelet (58) preambulumbekezdése szerint az érintettnek nyújtott tájékoztatás tömör, könnyen hozzáférhető és könnyen érthető legyen, valamint, hogy azt világos és közérthető nyelven fogalmazzák meg, illetve - ezen túlmenően szükség esetén vizuálisan is megjelenítsék.

(173) A Kötelezett jogelődje a NAIH-13200-2/2024. ügyiratszámon, 3. sz. mellékletként becsatolta a Hatóság részére azon tájékoztatást, amelyet a Kötelezett jogelődje a HÉVmegállóhelyeken és HÉV-állomásokon függesztett ki általánosan. Ezen tábla az adatkezelés jogalapját az általános adatvédelmi rendelet 6. cikk (1) bekezdés f) pontjára és az Szsztv. 8. §-ára és a 8/A. §-ára alapozta. A hangfelvétel készítésre ugyan utal a tábla az 1. pontban, azonban az egészen apró betűs, alig látható, mikrofon, vagy más hangrögzítésre utaló piktogramot nem alkalmazott, szemben az ott elhelyezett, széles körben elterjedt kamerás piktogrammal, amely képrögzítésre utal.

(174) Erre hivatkozik a Kötelezett jogelődje a NAIH-13678-4/2024. ügyiratszámú nyilatkozatának 6. pontjában, vagyis, hogy az adatkezelésről oly módon adott tájékoztatást, hogy az érintett már az adatkezelés megkezdésének pillanatában tudatában lehessen annak, hogy állomáson és megállóhelyen történő tartózkodása során róla felvétel készülhet ezért, amennyiben e helyeken az ismertetés elhelyezésére elegendő terület nem áll rendelkezésre, figyelemfelhívó jelzést és ismertetést kell elhelyezni különösen az állomás és a megállóhely bejáratánál, a személyszállító vasúti járműre történő felszállásra szolgáló peronon.

(175) Az Európai Adatvédelmi Testületnek a személyes adatok videoeszközökkel történő kezeléséről szóló 3/2019. számú iránymutatásának 111. pontja rögzíti, hogy a „közlendő információk mennyiségére tekintettel az adatkezelő többszintű megközelítést követhet, amely esetben az átláthatóság biztosítása érdekében több módszer kombinációjának alkalmazása mellett dönthet (WP260, 35. pont; WP89, 22. pont). A videokamerás megfigyelést illetően a legfontosabb információkat a figyelmeztető táblán (első szint) kell feltüntetni, a további kötelező adatok pedig közölhetők más módon (második szint).” Az első szintű tájékoztatás módja kapcsán a 113. pontban azt is kiemeli, hogy „A tájékoztatást úgy kell kihelyezni, hogy az érintett a megfigyelt területre való belépés előtt könnyen felismerhesse a megfigyelés körülményeit (megközelítőleg szemmagasságban). Nem szükséges közölni a kamera helyét, amennyiben nincs kétség azzal kapcsolatosan, mely területek állnak megfigyelés alatt, és a megfigyelés körülményeit egyértelműen tisztázzák (WP89, 22. pont). Az érintettnek fel kell tudnia mérni, mely területet figyeli kamera, hogy elkerülhesse a megfigyelést, vagy szükség esetén ahhoz igazíthassa viselkedését.” A tényállás tisztázása során a Hatóság megállapította, hogy nem mindegyik HÉV-megállóban vagy HÉV-állomáson történt hangrögzítés a kamerarendszerek útján. Ezért a valóban hangrögzítéses megfigyeléssel érintett helyeken erre külön fel kellett volna hangsúlyosan hívni a figyelmet, egyrészt a Kötelezett jogelődje által üzemeltetett hivatalos weboldalán az adatkezelési tájékoztatóban, másrészt a helyszínen piktogramokkal, első szintű adatkezelési tájékoztatásban, illetve a kihelyezett adatkezelési tájékoztató kivonatokban Piktogramokat, amelyek egyértelműen jelezték volna a hangrögzítés tényét, a Kötelezett jogelődje nem alkalmazott.

(176) A fentiekre tekintettel az általános adatvédelmi rendelet 12. cikk (1) bekezdésében előírt „könnyen hozzáférhető” tájékoztatás kritériumának sérelmével járt az, hogy a Kötelezett jogelődje nem hozott megfelelő intézkedéseket annak érdekében, hogy az érintettek részére az adatkezeléssel kapcsolatos tájékoztatóját azon HÉVmegállóhelyeken és HÉV-állomásokon, ahol hangrögzítés is történt, könnyen hozzáférhető módon és formában, jól láthatóan tegye elérhetővé. VI.6. Az általános adatvédelmi rendelet 35. cikk (1) bekezdésének sérelme a 2020.

november 30-tól 2024. november 27-ig terjedő időszak vonatkozásában

[Rendelkező rész 1.2. d) alpontja indokolása]

(177) Az adatvédelmi hatásvizsgálat célja az adatkezelés jellegének feltárása, szükségességének és arányosságának vizsgálata, valamint a személyes adatok kezeléséből eredően a természetes személyek jogait és szabadságait érintő kockázatok kezelésének elősegítése e kockázatok értékelésével és a kezelésükre szolgáló intézkedések meghatározásával. A gyakorlatban ez azt jelenti, hogy az adatkezelő a tervezett adatkezelési műveletet/vagy műveleteket áttekinti, megvizsgálja az adott adatkezelés érintettekre gyakorolt esetleges hatását, felméri és értékeli annak kockázatait, megtervezi a kockázatok kezelésének módját, és mindezt megfelelően dokumentálja. Az adatkezelést megelőzően adatvédelmi hatásvizsgálatot akkor kell elvégezni az általános adatvédelmi rendelet 35. cikk (1) bekezdése alapján, amikor az adatkezelés „valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve”. (178) Az általános adatvédelmi rendelet 35. cikkének (4) bekezdése előírja, hogy mindegyik felügyeleti hatóságnak közzé kell tennie az olyan adatkezelési műveletek típusainak a jegyzékét, amelyekre vonatkozóan kötelező adatvédelmi hatásvizsgálatot végezni az országukban. Ezek a jegyzékek rendszerint a hatóságok honlapján találhatók meg. A videokamerás megfigyelés jellemző céljaira (személyés vagyonvédelem, bűncselekmények felderítése, megelőzése és megfékezése, bizonyítékok gyűjtése és gyanúsítottak biometrikus azonosítása) tekintettel észszerű feltételezni, hogy a videokamerás megfigyelés számos esetben adatvédelmi hatásvizsgálatot igényel. Az adatkezelőknek ezért érdemes alaposan áttanulmányozniuk ezeket a dokumentumokat annak megállapításához, hogy szükség van-e ilyen vizsgálatra, és szükség esetén elvégezzék azt. Az adatkezelőnek az elvégzett adatvédelmi hatásvizsgálat eredménye alapján kell döntenie arról, milyen adatvédelmi intézkedéseket vezet be. (ld.: Iránymutatás 137. pontja) A Hatóság alábbi weboldalán található az általános adatvédelmi rendelet 35. cikk (4) bekezdése alapján közzétett hatásvizsgálati lista: https://naih.hu/hatasvizsgalati-lista, melynek 14. pontja szerint:

„Módszeres megfigyelés. Érintettek nagyszámú és módszeres megfigyelése jellemzően közterületeken vagy nyilvános helyeken történő kamerarendszerek, drónok felhasználásával, illetve bármely más új technológia használatával (Wi-Fi tracking, Bluetooth tracking, testkamera).”

(179) Az Európai Adatvédelmi Testület első ülésén fenntartotta az Adatvédelmi Munkacsoport kapcsolódó (Iránymutatás az adatvédelmi hatásvizsgálat elvégzéséhez és annak megállapításához, hogy az adatkezelés az (EU) 2016/679 rendelet alkalmazásában „valószínűsíthetően magas kockázattal jár”-e wp248rev.01) iránymutatása egy kilenc elemű – nem taxatív – listán határozza meg azon szempontokat, melyeket indokolt figyelembe venni annak eldöntése során, hogy szükséges-e az adott adatkezelési tevékenységgel kapcsolatban adatvédelmi hatásvizsgálatot végezni, avagy sem.

(180) Az adatvédelmi hatásvizsgálatot „az adatkezelést megelőzően” kell elvégezni (ld általános adatvédelmi rendelet 35. cikk (1) és (10) bekezdése, valamint az általános adatvédelmi rendelet (90) és a (93) preambulumbekezdés), mivel a hatásvizsgálat folyamata azonosíthatja azokat a jogi és technikai kockázatokat, az azok kapcsán szükséges intézkedéseket, amelyek az érintettek számára kellően alacsony szintre csökkenti az adatkezelés kockázatait. Ez összhangban van a beépített adatvédelem és az alapértelmezett adatvédelem elvével (ld.: általános adatvédelmi rendelet 25.

cikk és (78) preambulumbekezdés). Az adatvédelmi hatásvizsgálatot az adatkezeléssel kapcsolatos döntések meghozatalát segítő eszköznek kell tekinteni.

(181) Az Európai Adatvédelmi Testületnek a személyes adatok videoeszközökkel történő kezeléséről szóló 3/2019. számú iránymutatásának 7. pontja szerint:

„Napjainkban elterjedt jelenséggé vált egy adott terület optikai vagy audiovizuális eszközökkel történő, módszeres, automatizált megfigyelése, elsősorban vagyonvédelem vagy az emberi élet és egészség védelme céljából. Ez a tevékenység képi vagy audiovizuális információk gyűjtésével és megőrzésével jár a megfigyelt területre belépő összes személy tekintetében, akik külső megjelenésük vagy egyéb sajátos elemek alapján azonosíthatóak. Az erre vonatkozó adatok felhasználhatók a személyazonosság megállapítására. Emellett lehetővé teszik a személyes adatok további kezelését a személyek adott területen való jelenlétével és viselkedésével összefüggésben. Az ilyen adatokkal való visszaélés esetleges kockázata a megfigyelt terület méretével és az ott megforduló személyek számával arányosan növekszik. Ez a tény tükröződik az általános adatvédelmi rendelet 35. cikke (3) bekezdésének c) pontjában, amely nyilvános helyek nagymértékű, módszeres megfigyelése esetén adatvédelmi hatásvizsgálat elvégzését írja elő, (…)” (182) Az ilyen jellegű megfigyelés azért tartozik a figyelembe veendő szempontok közé, mivel a személyes adatok gyűjtése olyan körülmények között folyhat, ahol előfordulhat, hogy az érintettek nem tudják, ki gyűjti és hogyan használja fel adataikat. Ezenkívül az egyéneknek talán nincs lehetőségük elkerülni, hogy közterületeken (vagy nyilvános helyeken) érintetté váljanak ilyen adatkezelésben.

(183) A 29. cikk szerinti adatvédelmi munkacsoport a “módszeres” szót úgy értelmezi, hogy az alábbiak közül egy vagy több jelentéstartalommal rendelkezik (lásd a 29. cikk szerinti adatvédelmi munkacsoport adatvédelmi tisztviselőről szóló 16/EN WP 243. számú iránymutatását): - módszer szerint zajlik; - előre meghatározott, szervezett vagy tervszerű; - általános adatgyűjtési terv részeként megy végbe; - stratégia részeként történik.

A 29. cikk szerinti adatvédelmi munkacsoport értelmezése szerint a “nyilvános hely” a nyilvánosság bármely tagja előtt nyitva álló bármely terület, például köztér, bevásárlóközpont, utca, piactér, vasútállomás vagy közkönyvtár. (184) Az általános adatvédelmi rendelet nem határozza meg, hogy mit jelent a nagymértékű, illetve nagy számban történő adatkezelés, bár az általános adatvédelmi rendelet (91) preambulumbekezdése nyújt bizonyos útmutatást. Ezért a 29. cikk szerinti adatvédelmi munkacsoport adatvédelmi tisztviselőről szóló 16/EN WP 243. számú iránymutatása azt ajánlja, hogy különösen a következő tényezőket vegyék figyelembe annak meghatározásakor, hogy az adatkezelés nagymértékű-e, vagy nagy számban történike:

• Az érintettek száma - akár egy konkrét szám, akár az adott népesség arányában • Az adatok mennyisége és/vagy a kezelésre kerülő különböző adatok köre • Az adatkezelési tevékenység időtartama vagy állandósága • Az adatkezelési tevékenység földrajzi kiterjedése. (185) Nincs szükség adatvédelmi hatásvizsgálatra, ha az általános adatvédelmi rendelet 6.

cikk (1) bekezdésének c) vagy e) pontja szerinti adatkezelési művelet jogalappal rendelkezik az uniós vagy tagállami jogban, a jog szabályozza az adott adatkezelési műveletet, és az említett jogalap megállapítása során már készült adatvédelmi hatásvizsgálat (Ld: az általános adatvédelmi rendelet 35. cikk (10)

preambulumbekezdése), kivéve, ha a tagállam kimondta, hogy az adatkezelési műveletet megelőzően hatásvizsgálatot szükséges végezni. Ha az adatkezelés jogalapjául szolgáló jogszabály kidolgozása során végeznek adatvédelmi hatásvizsgálatot, akkor az adatkezelési műveletek megkezdése előtt valószínűleg szükség lesz felülvizsgálatra, mivel az elfogadott jogszabály magánéleti és adatvédelmi kérdéseket illetően eltérhet a jogszabály-javaslattól. Emellett előfordulhat, hogy a jogszabály elfogadásakor nem állnak rendelkezésre elegendő technikai adatok a tényleges adatkezelésről, még akkor sem, ha készült mellette adatvédelmi hatásvizsgálat. Ilyen esetekben mégis szükség lehet külön adatvédelmi hatásvizsgálat elvégzésére a tényleges adatkezelési tevékenységek megkezdése előtt.

(187) A Hatóság megjegyzi, hogy mivel a 2025. évtől a jogszabályba újra bevezetett hangrögzítés kapcsán a jogalkotás során ahhoz a jogszabály előkészítője adatvédelmi hatásvizsgálatot nem folytatott, 2025. január 1-jétől kezdve is csak adatvédelmi hatásvizsgálat lefolytatását követően lehet jogosult az Szsztv. 8. § (2) bekezdés hatálya alá tartozó adatkezelő élőkép és hangtovábbítás útján megfigyelést folytatni, vagy képés hangfelvételeket rögzíteni, feltéve, hogy az adatkezelés teljes körű alapelvi megfelelését tudja igazolni az általános adatvédelmi rendelet 35. cikk (3) bekezdés c) pontjára és a Hatóság hatásvizsgálati listájára tekintettel.

(188) Ugyan a Kötelezett jogelődje készített egy érdekmérlegelési tesztet a Szilasliget HÉVmegállóhelyre speciálisan, amelyet be is csatolt (NAIH-7019-5/2022. és a NAIH-8219- 2/2023. ügyiratszámokon becsatolva), és hivatkozik is rá, azonban az sem tartalmilag, mélységében, sem az azonosítandó kockázatok, technikai és szervezési intézkedések vonatkozásában, sem terjedelmében nem feleltehető meg az adásvédelmi hatásvizsgálatnak. (189) Az általános adatvédelmi rendelet értelmében az adatvédelmi hatásvizsgálatra vonatkozó előírások be nem tartása esetén az illetékes felügyeleti hatóság bírságot szabhat ki. Amennyiben az adatkezelést kötelező adatvédelmi hatásvizsgálatnak alávetni, annak elmulasztása (a 35. cikk (1) és (3)–(4) bekezdése), helytelen elvégzése (a 35. cikk (2) és (7)–(9) bekezdése), vagy szükség esetén az illetékes felügyeleti hatósággal való egyeztetés elmulasztása (a 36. cikk (3) bekezdésének e) pontja) közigazgatási bírsággal sújtható az általános adatvédelmi rendelet 83. cikk (4) bekezdésének a) pontja szerint, amelynek összege legfeljebb tízmillió euró, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%-a; a kettő közül a magasabb összeget kell kiszabni (ld.: Iránymutatás az adatvédelmi hatásvizsgálat elvégzéséhez és annak megállapításához, hogy az adatkezelés az (EU) 2016/679 rendelet alkalmazásában „valószínűsíthetően magas kockázattal jár”-e, I. pont). (190) Az a tény, hogy a Kötelezett jogelődje az általa beszerzett és üzemeltetett, a hangrögzítésre technikailag alkalmas kamerák esetében a hangrögzítés funkciót korlátozás nélkül, a kamerák látóterébe belépő minden potenciális érintettre (köztük értelemszerűen kiskorú gyermekekre is) kiterjedően használta, és a képfelvétellel együtt hangot is rögzített, nem összeegyeztethető az általános adatvédelmi rendelet alapelveivel, a Kötelezett jogelődje által elérendő célokhoz nem szükséges, azzal nem arányos, és átlépi az alkotmányos kereteket is, azaz a Kötelezett jogelődje nem azonosította és értékelte megfelelően, hogy a korlátlan hangrögzítés milyen kockázatokat jelenthet a természetes személyek jogaira és szabadságaira nézve. (191) A Hatóság a fentiek alapján megállapította, hogy a 2020. november 30-tól 2024.

november 27-ig terjedő időszakban a kamerás megfigyeléssel összefüggésben zajló adatkezelési tevékenysége tekintetében a Kötelezett jogelődje nem készített az általános adatvédelmi rendeletben foglaltaknak megfelelően adatvédelmi hatásvizsgálatot, és annak elkészítése alól nem is mentesült. Ezzel a Kötelezett az általános adatvédelmi rendelet 35. cikk (3) bekezdésének c) pontjára tekintettel megsértette az általános adatvédelmi rendelet 35. cikk (1) bekezdését, amely rendelkezések alapján kötelezően Kötelezett jogelődjének el kellett volna készítenie az adatvédelmi hatásvizsgálatot.

VI.7. Az adatkezelés jogalapjának sérelme a kamerás megfigyelés élőképének és hangjának továbbítása vonatkozásában a 2021. április 27. és 2022. október 14-ig terjedő időszakban [Rendelkező rész 1.3. a) alpont indokolása]

(192) A 2021. április 27. napján a Kötelezett jogelődje és a Kerepesi Polgármesteri Hivatal között létrejött Együttműködési Megállapodás alapján a Kötelezett jogelődje a tulajdonában lévő kamerák (Szilasliget HÉV-megálló) élőképeihez történő távoli hozzáférést biztosított a Kerepesi Polgármesteri Hivatal részére. A Megállapodás 2.1. pontjában a felek rögzítették, hogy a felvételek adathordozóra történő kimentésére és harmadik fél részére való átadására kizárólag a MÁV-HÉV Zrt. (Kötelezett jogelődje) jogosult. Az élőkép megfigyelése esetén nem került sem részben, sem egészben kitakarásra az élőképen szereplő személy. A Hatóság a Kötelezett jogelődjét a vizsgálati eljárás során nyilatkozattételre hívta fel (NAIH-7019-2/2022. ügyiratszámú megkeresés), hogy milyen célból és mely, az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti jogalap alapján került továbbításra az élőkép a Kerepesi Polgármesteri Hivatalnak, továbbá, hogy a felvétel lementése és továbbítása naplózásra került-e, tartalmazza-e bármilyen dokumentum (pl. szabályzat, utasítás) a felvételek lementésének, továbbításának részletszabályait. A Kötelezett jogelődje a felvétel készítésének és rögzítésének jogalapját az általános adatvédelmi rendelet 6. cikk (1) bekezdésének f) pontjára (jogos érdek) alapította [ld.: NAIH-7019-3/2022. ügyiratszámú nyilatkozat 3. pontja]. A Kötelezett jogelődje hangsúlyozta, hogy az Szsztv. 8. § (2) és (5) bekezdésben rögzítettek alapján az utasok, valamint a szolgáltató munkavállalói és megbízottjai élete, személye, testi épsége, vagyontárgyai védelme, valamint a járművei, berendezései, eszközei, egyéb vagyontárgyai és a nemzeti vagyon védelmének érdekében jogosult képfelvételt készíteni és a jogszabályban meghatározott időtartamig tárolni. Az élőkép továbbításának jogalapját a Megállapodás 1.1. pontjában határozta meg, mely szerint a H8-as HÉV-vonalon az utasok biztonságérzetének javítása, továbbá a közbiztonságot megzavarók és a vasúti infrastruktúra elemeket rongálók. A felvételt ezek alapján a Kerepesi Polgármesteri Hivatalnak sem lementeni, sem továbbítani nem lett volna jogalapja. A Kötelezett jogelődje hozzáférést biztosított a Kerepesi Polgármesteri Hivatalnak az élőképekhez: „A MÁV-HÉV Zrt. a Hivatal részére biztosítja a kamerák élőképeihez való távoli hozzáférés lehetőségét. A felvételek adathordozóra történő kimentésére és harmadik fél részére való átadására kizárólag a MÁV-HÉV Zrt. jogosult.” (A 2021. április 27. napján aláírt Együttműködési megállapodás 2.1. pontja, ld.: NAIH-7019-3/2022. ügyiratszámú nyilatkozat melléklete) (193) A 2022. szeptember 14-i helyszíni szemle és az ott készült jegyzőkönyv (NAIH-7398-

2/2022) tanúsítja, hogy a Kerepesi Polgármesteri Hivatal részére összesen 3 db kamerának az élőképet rögzítő kameraképek kerültek továbbításra, illetve kivetítésre. A jegyzőkönyv szerint a közterület-felügyelő 09 óra 12 perckor a rendszerbe jelkóddal, admin felhasználóként lépett be; kérdésre előadta, hogy a kamerarendszerhez nincs több fiók. Ezt követően a tévén megjelentek az egyes, élő képet közvetítő kameraképek. A 32 csatornás rögzítőn 14 kamerakép volt látható. 14 működő kameraképből 5 db a HÉV kameraképeit közvetíti. A kameraképek rögzítésére szolgáló eszköz: HIKVISION Network Video Recorder (NVR), típusa: DS-9332NI-I8., egyedi azonosítója: 647195880. A Hatóság eljáró informatikusai megállapították, hogy a rendszer távoli hozzáférést biztosít (Quick Connect), továbbá, hogy az 5589 GB háttértár teljes kihasználtság alatt áll, ennyi felvétel van helyileg mentve, a korábbi fájlok folyamatosan felülírásra kerülnek. Az utolsó elérhető felvétel 2022. augusztus 28. napján készült. A kamerarendszer úgy van beállítva, hogy az a nap 24 órájában közvetít képet. A szemle során a közterületfelügyelő felvilágosítást nyújtott a kamerarendszerrel összefüggésben, amely során előadta, hogy a korábban közreműködő rendőri dolgozók milyen módon fértek hozzá a kamerarendszerhez. Előadta továbbá, hogy ha bűncselekmény gyanúja merül fel, akkor az érintetteknek a rendőrséghez fordulást javasolják, a rendőrség pedig a képfelvételeket lefoglalja. A Hatóság fényképfelvételeket készített a kamerafelvételek mentését és továbbítását dokumentáló iratról. Az irat tartalmazott olyan bejegyzéseket is, amelyek a Szilasligeti HÉV-megálló kamerafelvételeit érintik. A Kerepesi Polgármesteri Hivatal nem volt sem adatkezelő, sem közös adatkezelő, sem adatfeldolgozó a Szilasligeti HÉV-megálló kameráinak a felvételei vonatkozásában, mégis a rendőrség számára kamerafelvételeket adott át. A Kötelezett jogelődje a NAIH- 507-13/2023. ügyiratszámú nyilatkozatában 2023. április 19-én hangsúlyozta, hogy nem vett részt a Kerepesi Polgármesteri Hivatal kamerarendszerébe történő integrálásban, csupán hálózati kapcsolaton keresztül hozzáférést engedélyezett az egyes kamerák élőképeihez (egy korlátozott felhasználó segítségével) erre külön tervek nem készültek, Kerepes Város Önkormányzata a saját optikai kábelét csatlakoztathatta a Kötelezett jogelődjének optikai vevőjébe. (194) A Hatóság megállapította, hogy nem tudott a Kötelezett jogelődje megfelelő jogalapot ahhoz igazolni, hogy 3 db kamera élőképét továbbítsa egy harmadik félnek, amely fél az adatkezelés szempontjából az általános adatvédelmi rendelet szerint sem közös adatkezelőnek, sem adatfeldolgozónak nem minősül (ezt igazolja a NAIH-507-13/2023. ügyiratszámú nyilatkozat), csupán címzett önálló adatkezelő az általános adatvédelmi rendelet alapján. A Megállapodás ugyanis nem rögzítette, hogy a Kerepesi Polgármesteri Hivatal milyen minőségben és jogalappal vesz részt az Szsztv. 8. § -a szerinti adatkezelési feladatokban. Az Szsztv. 8. § és 8/A. § rendelkezései az értékelt időszakban sem adtak lehetőséget arra, hogy az ott rögzített adatkezeléshez önkényesen – a törvényben meghatározott egyedi hatósági vagy bírósági eljáráson kívül, vagy ott meghatározott céltól eltérő célra, – magánjogi szerződés alapján hozzáférést biztosítson más személy részére a hatálya alá tartozó adatkezelés során keletkező képfelvételekhez az adatkezelő gazdasági társaság. A Kerepesi Polgármesteri Hivatal nem minősült alvállalkozónak, adatfeldolgozónak, nem a Kötelezett jogelődjének utasításai szerint és ellenőrzése alatt folytatott adatkezelési műveleteket, azaz nem történt közfeladat kiszervezésre a részére, csupán hozzáférést kapott egy állami tulajdonban lévő személyszállítási tevékenységet is végző gazdasági társaság adatkezelő rendszeréhez. Ez tehát nem az alkalmazott biztonsági intézkedések sérelme, azaz adatvédelmi incidens, hanem tudatos adatkezelői döntés eredménye volt, amely döntés az Együttműködési Megállapodásban került rögzítésre. Hiába volt érvényben köztük Megállapodás, ha semmilyen technikai vagy szervezési intézkedés nem történt annak érdekében, hogy Kötelezett jogelődje észlelje vagy megakadályozza, hogy az élőképeket a Kerepesi Polgármesteri Hivatal valamelyik szervezeti egysége vagy munkatársa lementse. Igazolja ezt a tényt a Kötelezett jogelődjének felszólító levele, melyben felhívta a Polgármesteri Hivatalt, hogy haladéktalanul intézkedjenek azzal kapcsolatban, hogy a jövőben felvételek adathordozóra történő kimentésére és harmadik fél részére való átadására semmilyen körülmények között ne kerülhessen sor (levél kelte: 2022.08.31., becsatolva: NAIH- 7019-3/2022. ügyiratszámú nyilatkozathoz). Fentieken túl az Együttműködési Megállapodás megkötése nem tekinthető az általános adatvédelmi rendelet 6. cikk (1) bekezdése szerinti egyik jogalapnak sem az érintettek képmásának, hangjának megfigyeléséhez, hiszen a felsorolás a rendeletben kizárólagos, sem a tagállami jogalkotó, sem az egyes adatkezelők által nem bővíthető. Emellett az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti, a köznyelvben szerződéses jogalapnak nevezett jogalap is kizárólag akkor hivatkozható jogszerűen, ha az érintett az egyik szerződő fél, amely a Szilasligeti HÉV-megálló összes utasának szerződő félként történő bevonását tette volna szükségessé az Együttműködési Megállapodásba. (195) Az Szsztv. 8. §-a szerinti adatkezeléssel összefüggő kamerafelvételeket, élőképet továbbítani nem volt sem jogszabályban rögzített lehetősége, sem közfeladata a Kötelezett jogelődjének, így arra sem lett volna joga, hogy arra vonatkozóan Megállapodást kössön, annak alapján egy harmadik félnek személyes adatokat továbbítson, hozzáférést engedélyezzen a Szilasligeti HÉV-megállóban elhelyezett és üzemeltetett 3 db kamera élőképeihez és hangsávjához. A Kötelezett jogelődje nem is próbálta meg meghatározni vagy igazolni ennek az általános adatvédelmi rendelet 6. cikkében foglalt jogalapját, az élőképek és hangsávok továbbítását, megfigyelését nem tekintette az adatvédelmi jogi szabályozás hatálya alá eső adatkezelési tevékenységnek. A Hatóság hivatalból sem tudott olyan jogalapot azonosítani, amely alapján a Kötelezett jogelődjének e tevékenysége jogszerűen folytatható lett volna. (196) A fentiek alapján a Hatóság megállapította, hogy a Kötelezett jogelődje 2021.

április 27-től 2022. október 14. napjáig terjedő időszakban megsértette az általános adatvédelmi rendelet 6. cikk (1) bekezdését azáltal, hogy a Kerepesi Polgármesteri

Hivatal részére történő, a Szilasligeti HÉV-megállóban elhelyezett és üzemeltetett

3 db kamera élőképeinek és hangsávjának adattovábbítása vonatkozásában a Kötelezett jogelődje megfelelő jogalapot nem tudott igazolni, azt a Hatóság sem tudott hivatalból meghatározni az adatkezelés kapcsán, így azt jogalap nélkül végezte a fenti időszak alatt.

VI.8. Az általános adatvédelmi rendelet 13. cikk (1) bekezdés e) pontjának sérelme a 2021. április 27-től 2022. október 14-ig terjedő időszak vonatkozásában [Rendelkező rész 1.3. b) alpontja indokolása]

(197) Az általános adatvédelmi rendelet 13. cikk (1) bekezdése értelmében, ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdésében foglalt információk mindegyikét. (198) Az általános adatvédelmi rendelet 13. cikk (3) bekezdése szerint, ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és az általános adatvédelmi rendelet 13. cikk (2) bekezdésében említett minden releváns kiegészítő információról. (199) A Hatóság már az általános adtavédelmi rendelet alkalmazandóvá válásakor kifejtette és közzétette azon álláspontját, hogy „Az általános adatvédelmi rendelet mind a 13., mind a 14. cikkben úgy rendelkezik, hogy az adatkezelőknek az érintett tudomására kell hozniuk a személyes adatok címzettjeit, illetve a címzettek kategóriáit. Az adatkezelőknek az adatkezelés teljes időtartama alatt szem előtt kell tartaniuk az átlátható adatkezelés elvét, mind az általános adatvédelmi rendelet 13.-14. cikk szerinti tájékoztatási kötelezettség teljesítése, mind a 15. cikk szerinti hozzáférési jog biztosítása során. Ennek körében arra kell törekedniük, hogy az érintett minél teljesebb és átfogóbb képet kapjon a személyes adatai kezeléséről, mivel kizárólag így van lehetősége felmérni azt, hogy egy adott adatkezelés milyen hatással van a magánszférájára. A Hatóság álláspontja szerint esetről esetre kell megítélni, hogy mikor elegendő az érintetteket csak a címzettek kategóriáiról tájékoztatni. Általánosságban azonban elmondható, hogy amennyiben egy adott tevékenyéget végző címzettből csupán néhány van, akiknek a személye konkrétan meghatározható, abban az esetben szükséges a címzettek megnevezése és nem elegendő a címzettek kategóriáiról való tájékoztatás. (...) Akkor lehet elegendő a címzettek kategóriáról való tájékoztatás, ha az adott címzetti kör jelentős, és az ő kilétükről való tájékoztatás rontaná a tájékoztató átláthatóságát, közérthetőségét, világosságát, megsértve ezzel az átlátható tájékoztatás követelményét.” (ld.: NAIH/2018/4017/2/V. ügyszámú állásfoglalás; https://www.naih.hu/files/Adatved_allasfoglalas_NAIH-2018-4017-2-V_uzleti_titok.pdf) (200) Az átláthatóságról szóló iránymutatás is rögzíti: A cél az, hogy az érintettek pontosan tudják, ki rendelkezik a személyes adataikkal. Ha az adatkezelők úgy döntenek, hogy a címzettek kategóriáit adják meg, az információnak a lehető legkonkrétabbnak kell lennie, és magában kell foglalnia a címzett típusát (pl. az általa végzett tevékenységekre való utalással), az érintett szakmát, az ágazatot és alágazatot, valamint a címzettek tartózkodási helyét. (ld.: a 95/46/EK irányelv 29. cikke alapján létrehozott adatvédelmi munkacsoportnak az (EU) 2016/679 rendelet szerinti átláthatóságról szóló WP260 rev.01. számú (2018. április 11.) iránymutatás, Melléklet, 42. oldal) (201) Az Európai Unió Bírósága 2025. szeptember 4-i, C‑413/23. P. sz. ügyben hozott ítéletének 108-109. pontjaiban arra is rámutat, hogy „108. E körülmények között úgy tűnik, hogy az arra vonatkozó kötelezettség, hogy – a rá vonatkozó személyes adatok gyűjtésének időpontjában – az ezen adatok esetleges címzettjeire vonatkozó információt az érintett rendelkezésére bocsássák, többek között azt a célt szolgálja, hogy lehetővé tegye e személy számára, hogy a tények teljes ismeretében döntsön arról, hogy a tőle gyűjtött személyes adatokat közli‑e vagy éppen ellenkezőleg, megtagadja azok szolgáltatását. 109. Hozzá kell tenni, hogy – amint azt lényegében a Bizottság állította a tárgyaláson az esetleges címzettekre vonatkozó információ kétségkívül elengedhetetlen ahhoz, hogy az érintett később megvédhesse a jogait e címzettekkel szemben. Mindazonáltal az arra vonatkozó kötelezettség, hogy ezt az információt a személyes adatok gyűjtésének időpontjában bocsássák rendelkezésre, biztosítja többek között azt, hogy ezeket az adatokat az adatkezelő ne az érintett akarata ellenére gyűjtse, vagy akár akarata ellenére továbbítsa harmadik félnek.” (202) A Kerepesi Polgármesteri Hivatal az általános adatvédelmi rendelet 4. cikkének 9. pontja alapján az élőképet és hangot tartalmazó adattovábbítás kapcsán címzettnek minősül, amely tényről a Kötelezett jogelődjének tájékoztatnia kellett volna az érintetteket az általános adatvédelmi rendelet 13. cikkének (1) bekezdésének e) pontja alapján az adatkezelési tájékoztatójában, amelyet a Kötelezett jogelődje azonban elmulasztott. A Kötelezett jogelődjének nyilatkozata szerint élőképek csak zárt belső hálózaton, biztonsági és forgalmi okokból láthatóak kizárólag a szolgálatban lévő illetékes diszpécserek számára. Más esetben, felvétel letöltése kizárólag a jogszabály által előírt esetekben történt. A gyakorlatban a rendőrség által biztosított adathordozón kerültek a felvételek átadására, mely eseményekről lefoglalási jegyzőkönyvet ad át a rendőrség a Kötelezett jogelődje számára. Az élőképek továbbítása kizárólag a Kerepesi közterületfelügyelet számára történt a megállapodás alapján. (ld.: NAIH-7019-5/2022. ügyiratszámú nyilatkozat 5. pontja.) A Megállapodás 2021. április 27-től 2024. december 25-ig volt érvényben (2024. november 25. napján 30 napos felmondási idővel megszüntetésre került), azzal, hogy 2022. október 14-én e-mailes levelezés útján a felek felfüggesztették, azaz a kamerakép nem volt elérhető, fizikailag az optikai kábel eltávolításra került, ami a közvetlen kapcsolatot biztosította. A kamerarendszer a Szilasligeti HÉV-megállóba pedig 2021. április 1-jén került ki. A Kötelezett jogelődje 2023. október 4-én (ld.: NAIH-8219-2/2023. ügyiratszámú nyilatkozat 4. és 5. pontja) úgy nyilatkozott, hogy nem biztosít más szerv vagy személy részére hozzáférést az általa üzemeltett kamerák élőképéhez és a rögzített kép- és hangfelvételekhez. „Rendszeres adattovábbítás nem történik a kép- és hangfelvételek vonatkozásában.” Szintén úgy nyilatkozott Kötelezett jogelődje 2023. április 19-én, hogy nem biztosít hozzáférést a

Szilasliget HÉV-Megálló kameraképeihez Kerepes Város Önkormányzatának. (NAIH- 507-13/2023. ügyiratszámú nyilatkozat). Kötelezett jogelődje 2024. november 13-án (NAIH-13200-2/2024) szintén nyilatkozott, hogy már nincs hatályban a Megállapodás, és nincs is olyan szerv, vagy személy, aki/amely a rögzített kamera- és hangfelvételekhez hozzáférhet, ugyanis a Kerepesi Polgármesteri Hivatallal kötött megállapodást a felek nem alkalmazzák (felfüggesztették), az adattovábbítás technikai feltételei már nem adottak. Ezzel a nyilatkozatával kifejezetten is elismerte a Kötelezett jogelődje, hogy azonosította, hogy adattovábbítás, azaz adatkezelés történt az élőképekhez és hangsávhoz történő hozzáférés biztosítással. Az adattovábbítás, továbbá a hozzáférhetővé tétel az általános adatvédelmi rendelet 4. cikkének 2. pontja alapján szintén adatkezelési művelet.

(203) A Hatóság a fentiek alapján megállapította, hogy a 2021. április 27-től 2022. október 14ig (amíg fel nem függesztették a Megállapodást) terjedő időszakban a kamerás megfigyeléssel összefüggésben zajló adatkezelési tevékenység tekintetében a Kötelezett nem adott az általános adatvédelmi rendeletben foglaltaknak megfelelően tájékoztatást a Régi Adatkezelési Tájékoztatójában, illetve a helyszínen a Tájékoztató kivonatában sem. Ezzel a Kötelezett megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdésének e) pontját.

(204) Összegezve, sem a Régi Adatkezelési Tájékoztató, sem az abból készült kivonat (melyet a HÉV-megállóhelyeken helyeztek el) nem határozta meg kifejezetten és a valóságnak megfelelően, pontosan a személyes adatok címzettjeit, címzettek kategóriáit [általános adatvédelmi rendelet 13. cikk (1) bekezdés e) pont], azaz, amíg a Megállapodás érvényben volt, addig a Tájékoztató nem tartalmazta azt a tényt, hogy a Szilasligeti HÉV-megálló esetében a kamerakép és kamerahang továbbításra került, azaz, hogy a Kerepesi Polgármesteri Hivatalnak hozzáférése volt az élőképhez hanggal együtt, amely szerv egyúttal az általános adatvédelmi rendelet alapján címzett. Erről az érintetteket nem tájékoztatta a Kötelezett jogelődje semmilyen módon. Ezzel Kötelezett jogelődje megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdés e) pontját a 2021. április 27-től 2022. október 14-ig terjedő időszak vonatkozásában.

VI.9. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontja szerinti

„korlátozott tárolhatóság” elvének sérelme a 2023. június 26-tól 2024. december 18-ig terjedő időszakban (Rendelkező rész 1.4. pontja indokolása)

(205) Az Szsztv. 8. § (11) bekezdése 2023 júniusát megelőzően rögzítette, hogy: „Bíróság vagy hatóság erre irányuló megkeresése esetén a szolgáltató a felvételt haladéktalanul megküldi a megkereső részére.” A felvételek bíróságnak vagy hatóságnak történő megküldését követően történő törléséről, vagy megőrzésének határidejéről az Szsztv. szerinti célokra rögzített felvételek kapcsán sem a törvény, sem más ágazati előírás nem rendelkezett 2023. június 26-a előtt. Az Infotv. 5. § (5) bekezdésében foglaltakra tekintettel ezért az adatkezelő kötelezettsége volt a közfeladata keretében készített képés hangfelvételek kapcsán az adatkezelés megkezdésétől – azaz a felvételek kimentésétől számítva – legalább háromévente dokumentált módon felülvizsgálni, hogy az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt felvételek kezelése az adatkezelés céljának megvalósulásához továbbra is szükséges-e. (206) A 2024. december 13-án lefolytatott helyszíni szemle (NAIH-13678-5/2024.

ügyiratszámú jegyzőkönyv) során talált, valamely nyomozó hatóság által korábban lefoglalt felvételek általa kimentett másolatait a Kötelezett jogelődje nem törölte, azokat több, mint egy éven keresztül tárolta a jogszabály megőrzési időre irányuló rendelkezése ellenére, egészen 2024. december 18. napjáig. A helyszíni szemle során megállapításra került, hogy a legkorábbi kép- és hangfelvétel 2021. szeptember 14-i dátumú. Ezzel kapcsolatban a Kötelezett a NAIH-1589-3/2025. ügyiratszámú nyilatkozatában előadta, hogy az Szsztv. a 2021. évben a Hatóság részére kimentett felvételek kapcsán nem rendelkezett felvételek további tárolásának idejéről, emiatt a Kötelezett jogelődje az ilyen jellegű felvételek esetében a bűncselekmények elévülési idejét alapul véve 5 éves tárolási időt határozott meg a Régi Adatkezelési Tájékoztatójának 7. pontjában: „Amennyiben a felvételre alapítottan polgári-, vagy büntető peres eljárás kerül lefolytatásra az adatkezelő érintettségével, úgy a felvétel megőrzésének ideje a MÁV- HÉV Zrt. igényének elévülése, főszabályként 5 év.” Az Utasítás ezzel ellentétben rögzítette a 4.2.2.3. pontjában: „Bírósági vagy hatósági eljárás esetén a kép-, hang- vagy kép-és hangfelvételt aza azt lezáró határozat jogerőre emelkedését vagy véglegessé válását követő 15. napon kell törölni.” Ez ugyan eltér a fenti Régi Adatkezelési Tájékoztató rendelkezéseitől, azonban ez sem áll összhangban sem az Infotv. 5. § (5) bekezdésében meghatározott időtartammal, sem a 2023. június 26-i jogszabály módosításban foglaltakkal. A felvételek lefoglalását követő törlési határidővel kapcsolatban az Szsztv. a 2023. június 26. napján hatályba lépett módosítása óta rendelkezik a 8. § (11) bekezdésében: Bíróság vagy hatóság erre irányuló megkeresése esetén a szolgáltató a felvételt haladéktalanul megküldi a megkereső részére. A szolgáltató a felvételt a bíróság vagy hatóság részére történő megküldést követő 90. napon törli, kivéve, ha a (13) bekezdés szerinti vizsgálat lefolytatása miatt, vagy a (12) bekezdés szerint az érintett által előterjesztett kérelemben megjelölt ok miatt a felvétel további megőrzése indokolt.” (207) Azonban a jogszabálymódosítást követően a Kötelezett jogelődje nem vizsgálta felül a felvételek tárolására vonatkozó előírásait, kizárólag a szabályzatok módosítására koncentrált: „Figyelemmel az Sztv. 2023. június 26. napján hatályba lépett módosításaira, az Adatvédelmi Utasítás vonatkozó tájékoztatását tartalmazó mellékmódosítása folyamatban van. A módosított és kiegészített adatkezelési tájékoztatók cseréje jelenleg is folyamatban van tekintettel a kihelyezéssel érintett területek (megállók, járművek, pihenőhelyiségek stb.) számosságára.” (ld.: NAIH-8219- 2/2023. ügyiratszámú nyilatkozat 7. pontja) A felvételeket tehát tovább tárolta, a módosító rendelkezések ellenére is, a Régi Adatkezelési Tájékoztató nem került felülvizsgálatra, módosításra, a 2020. november 3-i tartalommal továbbra is hatályban maradt. A Kötelezett jogelődje a 2023. október 4-i nyilatkozatában akként nyilatkozott, hogy (NAIH-8219-2/2023. ügyiratszámú nyilatkozat 3. pontja) a felvételt az Szsztv. 8. § (11) bekezdésével összhangban a bíróság vagy hatóság részére történő megküldését követő 90. napon törlik, kivéve az alábbi esetekben történő vizsgálat lefolytatása, vagy az érintett által előterjesztett kérelemben megjelölt ok miatt a felvétel további megőrzése indokolt. A benyújtott kérelmet követően a felvételt mindaddig nem törlik, amíg a megkeresés meg nem érkezik, vagy az érintett által előterjesztett kérelemben megjelölt indok miatt annak további kezelésére szükség van, de legfeljebb a kérelem beérkezését követő hat hónapig. (208) A NAIH-1589-3/2025. ügyiratszámú nyilatkozatának 5) pontja szerint a Kötelezett jogelődje a Hatóság helyszíni szemléjét követően a 2023. június 26. napját megelőzően lefoglalt és még tárolt felvételekkel összefüggésben a gyakorlatát felülvizsgálta, majd arra a következtetésre jutott, hogy ezeket a felvételeket meg kell semmisíteni és ezt követően gondoskodott a megsemmisítésükről. A Kötelezett a NAIH-1589-9/2025. ügyiratszámú nyilatkozatában tájékoztatta arról a Hatóságot, hogy pontosan mely felvételeket, összesen hány darab felvételt törölt, illetve semmisített meg, és pontosan mikor [ld.: Határozat indokolás tényállásában ismertetett táblázat]. Kötelezett hangsúlyozta, hogy a helyszíni szemle már az integrációhoz közel történt, így a Kötelezett jogelődjének a gyakorlata 2025. január 1. napjával felülvizsgálatra került volna, és a HÉV ágazatnak is úgy kell azóta eljárnia, ahogy a jogutód MÁV-START Zrt. esetében, azaz a MÁV Személyszállítási Zrt. gyakorlatának megfelelően, amely azt jelenti, hogy amennyiben a felvétel rendelkezésre bocsátása iránt kérelmet hatóság vagy bíróság terjesztette elő, úgy a felvételt a bíróság vagy hatóság részére történő megküldését követő 90. napon kell törölni, kivéve ha arra az érintett által előterjesztett adatkezelés korlátozásához való jog gyakorlására irányuló kérelem teljesítése miatt még szükség van, vagy a Kötelezett által lefolytatott belső vizsgálat miatt szükség van. (209) Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. A 2023. június 26-i Szsztv. változást követően a Kötelezett jogelődje a szükséges felülvizsgálatot nem folytatta le. Amint a cél megvalósult, főszabályként a személyes adatokat azonnal törölni kell, feltéve, hogy egyéb jogi kötelezettségre tekintettel nem szükséges a további adattárolás, avagy nem merül fel további olyan adatkezelési cél, amely megfelel a célok közötti összeegyeztethetőségnek, így az adatok további kezelését szükségessé teszi. (210) A Hatóság megjegyzi, hogy a Kötelezett jogelődje a 2024. december 13-án a Hatóság által a székhelyén lefolytatott helyszíni szemlét követően már a hatóság kötelezése nélkül felülvizsgálta gyakorlatát és 2024. december 18-án a Kötelezett jogelődje törölte a 2023. június 26-a óta hatályos jogszabályi rendelkezéseknek megfelelően a jogszabályi rendelkezésekkel ellentétes módon túltárolt felvételeket.

(211) A fentiekkel a Kötelezett jogelődje a 2023. június 26-tól 2024. december 18-ig terjedő időszakban megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés e)

pontja szerinti

„korlátozott tárolhatóság”

elvét, mert az adatmegőrzési követelményeket túllépve kezelt személyes adatokat, azok tárolása kapcsán nem vezetett be és alkalmazott határidőket, e tekintetben a gyakorlatát és az adatkezelési tájékoztatóját a bekövetkezett jogszabálymódosítás ellenére sem vizsgálta felül.

VI.10. Az általános adatvédelmi rendelet 13. cikk (1) bekezdés e) pontjának sérelme a 2025. január 1-től 2025. március 5-ig terjedő időszak vonatkozásában [Rendelkező rész 2. pontja indokolása]

(213) Ezzel Kötelezett megsértette az általános adatvédelmi rendelet 13. cikk (1) bekezdés e) pontját a 2025. január 1-től 2025. március 5-ig terjedő időszak vonatkozásában, mivel az Adatkezelési Tájékoztató tévesen, nem a valóságnak megfelelően tartalmazta a személyes adatok címzettjeit. VII.

Jogkövetkezmények

VII.1. Adatvédelmi bírság

(214) A Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és az Infotv. 75/A.

§-ának előírásai alapján mérlegelte az ügy összes körülményét. Tekintettel az ügy körülményeire és az adatkezelés természetére, a Hatóság megállapította, hogy a jelen eljárás során feltárt jogsértések esetében az enyhébb jogkövetkezmény (a Infotv. 75/A. §-a által hivatkozott „figyelmeztetés”) önmagában se nem arányos, se nem visszatartó erejű szankció lenne, ezért bírság kiszabása szükséges. A bírságkiszabás szükségességének mérlegelésekor a Hatóság figyelemmel volt a Kötelezett jogelődje által bevezetett gyakorlat általános és földrajzilag is kiterjedt jellegére [lásd a Határozat (1) bekezdése] és a jelentős számú érintettre [lásd a Határozat (23) bekezdése], az Infotv. 61. § (1) bekezdés a) pontjára és az Infotv. 61. § (3) bekezdésére figyelemmel az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja alapján. A jelen esetben a személyes adatok védelme – amely a Hatóság feladata – a lentebb részletezett bírságkiszabási körülmények összessége alapján nem érhető el adatvédelmi bírság kiszabása nélkül. A bírságkiszabás mind a speciális, mind a generális prevenciót is szolgálja, amelynek érdekében a Határozat nem csak a Hatóság weboldalán, hanem a Kötelezett weboldalának a nyitóoldalán, jól látható és könnyen hozzáférhető helyen is közzétételre kerül.

(215) A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés i) pontja és a 83. cikk (2) bekezdése szerint a közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)-h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Az nem kétséges, hogy az általános adatvédelmi rendelet megsértése esetén az általános adatvédelmi rendelet 58. cikk (2) bekezdés d) pontja alapján az adatkezelőt kötelezni szükséges arra, hogy az adatkezelést hozza összhangba az általános adatvédelmi rendelettel. A Hatóság akként ítélte meg, hogy a Kötelezett a Kötelezett jogelődje által tett jogsértéseket túlnyomórészt az új szabályozással, a Kötelezett jogelődjének beolvadását követően kiküszöbölte, ahogyan azokat a döntés megfelelő részeiben már fent kifejtette. A https://www.mavcsoport.hu/sites/default/files/upload/page/adatkezelesi_tajekoztato_ka meras_megfigyeles_2025.01.01.pdf weboldalon található adatkezelési tájékoztató Kötelezett általi törlése azonban továbbra is szükséges. (216) A Hatóság a kiszabott adatvédelmi bírság összegének megállapítása során figyelembe vette az Európai Adatvédelmi Testület 4/2022. számú iránymutatásában (a továbbiakban: Bírság Iránymutatás) foglaltakat, amely az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszabásának számítási szempontjait tartalmazza. A Kötelezett jogelődje által megvalósított adatkezelési műveletek egy sor olyan adatkezelési műveletet alkotnak, amelyeket egységes akarattal hajtottak végre, és azok kontextusban, térben és időben szorosan kapcsolódnak egymáshoz oly módon, hogy objektív szempontból egy koherens magatartásnak minősülnek. Ezért a Hatóság által jelen adatvédelmi hatósági eljárásban vizsgált kamerás megfigyeléssel összefüggésben végzett adatkezelési műveletek „kapcsolódónak” tekintendők, és ugyanazt a magatartást testesítik meg. A Bírság Iránymutatás 3.1.2 pontja a ”unity of actions” kifejezést használja – így az általános adatvédelmi rendelet 83. cikk (3) bekezdése alapján a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget, illetve a jogsértéseket és azok súlyosságát együttesen értékeli. Az ügy körülményei egy és ugyanazon magatartást testesítik meg, de ez a magatartás nemcsak egy, hanem több jogsértést is eredményez. (217) A Bírság Iránymutatásra tekintettel a bírság összegének meghatározására a következő szempontok alapján került sor:

a) A jogsértések kategorizálása: az általános adatvédelmi rendelet 35. cikke szerinti jogsértés kivételével (általános adatvédelmi rendelet 83. cikk (4) bekezdés a) pontjába sorolható) a jogsértések az adatkezelés elveire és az érintettek jogaira vonatkozó rendelkezések megsértését jelentették, azok az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és b) pontja szerint a magasabb összegű bírságkategóriába tartozó, súlyosabb jogsértésnek minősülnek, amelyek esetében a bírság felső határa 20 millió euró vagy a vállalkozás éves árbevételének 4%-a, attól függően, hogy melyik a magasabb. A Kötelezett jogelődjének 2024. évi nettó árbevételének (8 932 879 000 Ft) 4 %-a 357 315 160 forint, amely nagyságrendileg 923 701 eurónak felel meg, azaz nem éri el az általános adatvédelmi rendelet 83. cikk (5) bekezdése által meghatározott statikus bírságmaximumot, a 20 000 000 eurót, így a Kötelezett a jelen ügyben legfeljebb 20 000 000 eurónak megfelelő összegű bírsággal sújtható. A Hatóság a Kötelezett jogelődjének a 2024. évi nettó árbevételét vette a bírság kiszámításakor alapul, hiszen 2020-tól egészen 2024-ig a Kötelezett jogelődje volt az adatkezelő, és az adatkezelés 2024-ben valósult meg a legtöbb helyszínen.

b) A jogsértések súlyossága az egyes esetekben

1. A jogsértések jellege, súlyossága és időtartama

(218) A jogsértések jellege kapcsán a Hatóság figyelembe vette, hogy milyen érdek védelmét szolgálják a megsértett rendelkezések. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság elve biztosítja, hogy a személyes adatok kezelésével összefüggő tájékoztatás könnyen hozzáférhető és közérthető legyen, valamint, hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Az általános adatvédelmi rendelet 5. cikk (1) bekezdés c) pontja szerinti „adattakarékosság” elve biztosítja, hogy a személyes adatok a cél megvalósulásához szükséges mértékben és ideig kezelhetőek, az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontja szerinti korlátozott tárolhatóság elve biztosítja, hogy az adatkezelés céljának megvalósulásakor az adatkezelő gondoskodjon az érintett azonosíthatóságának megszüntetéséről. Az általános adatvédelmi rendelet 6. cikk (1) bekezdése az adatkezelés lehetséges jogalapjainak meghatározásával biztosítja az adatkezelés jogszerűségét. Az általános adatvédelmi rendelet 12. cikk (1) bekezdése szerinti könnyű hozzáférhetőség azt biztosítja, hogy az adatkezeléssel kapcsolatos tájékoztatás az érintett számára könnyen hozzáférhető formában kerüljön nyújtásra az adatkezelő által. Az általános adatvédelmi rendelet 13. cikk (1) bekezdése azt hivatott szolgálni, hogy az érintettek tájékoztatást kapjanak a személyes adataik kezelésének körülményeiről még azt megelőzően, hogy az adatkezelésre sor kerülne, így biztosítva az információs önrendelkezési jog érvényesülését. Amennyiben az általános adatvédelmi rendelet ezen rendelkezései sérülnek, az érintettek nem kapnak érdemi, átlátható tájékoztatást a személyes adataik kezeléséről. Az általános adatvédelmi rendelet 35. cikk (1) bekezdése az adatvédelmi hatásvizsgálat keretében az érintett számára az adatkezelés kapcsán felmerülő kockázatok azonosítását és csökkentését célozza, amely hiányában az adatkezelő nem tudja a szükséges technikai, szervezési, és jogi garanciákat kialakítani adatkezelése tervezésekor.

(219) A jogsértések súlya kapcsán a Bírság Iránymutatás figyelembe vehető szempontként nevesíti az általános adatvédelmi rendelet 82. cikk (2) bekezdés a) pontjában foglaltak szerint a szóban forgó adatkezelés jellegét, hatókörét, célját, továbbá azon érintettek számát, akiket a jogsértések érintenek, valamint az általuk elszenvedett kár mértékét.

Budapest agglomerációja is érintett volt az adatkezelés kapcsán, azok nem eseti jellegűek voltak azáltal, hogy a Kötelezett jogelődje általános jelleggel, az 5 HÉV vonalból 4 HÉV-vonal megállói vonatkozásában működtetett kamerás megfigyelést hangrögzítéssel együtt, nyilvános helyek nagymértékű, módszeres megfigyelését megvalósítva, olyan körülmények között, ahol az érintetteknek nincs lehetőségük elkerülni, hogy érintetté váljanak az adatkezelésben, hiszen máskülönben nem tudnának egyik helyről a másik helyre eljutni, munkahelyre vagy iskolába járni [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont].

(222) Az adatkezelés célja elemzésekor a Hatóság megállapította, hogy a Kötelezettnek illetve Kötelezett jogelődjének az Szsztv. 8. §-a ad, illetve adott jogszabályi lehetőséget, illetve közfeladatot kamerás adatkezelésre, azonban 2019. április 26-tól 2024. december 31-ig mindezt bizonyos megszorításokkal, például azzal, hogy hangfelvétel készítésére és továbbítására nem utalt az Szsztv.

(223) Az érintettek száma rendkívül magas, és a jogsértések „rendszerszintű” hatással voltak, azaz, nem elszigetelt esetről/esetekről van szó [ld.: Határozat (1) és (23) bekezdése]; [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont és Bírság Iránymutatás 4.2.1. fejezet 53. b) IV. pontja].

(224) A jogsértések időtartama kapcsán megállapítható, hogy az érintettek számára az adatkezelési műveletek huzamosabb ideig, kis híján négy teljes évig, azaz 2020. november 30-tól 2024. november 27-ig átláthatatlanok voltak azáltal, hogy az adatkezelési tájékoztató nem volt könnyen hozzáférhető, valamint több szempontból is hiányos tájékoztatást nyújtott a Kötelezett jogelődje az érintettek számára. A Hatóság a huzamosabb ideig tartó jogsértést a jogsértések súlyosságát növelő tényezőként értékelte [általános adatvédelmi rendelet 83. cikk (2) bekezdés a) pont].

2. A jogsértések szándékos vagy gondatlan jellege:

(225) A Hatóság álláspontja szerint a Kötelezett jogelődje és ezáltal a Kötelezett gondatlanul követte el a jogsértéseket. A Kötelezett jogelődje tisztában volt azzal, hogy adatkezelést folytat, azonban a jogszabályok által előírt pontos kötelezettségeivel nem volt tisztában. Kellő gondosság tanúsítása mellett a Kötelezett jogelődje elkerülhette volna a jogsértéseket. A Hatóság álláspontja szerint a Kötelezett jogelődjének tisztában kellett volna lennie az általános adatvédelmi rendeletben foglalt követelményekkel, illetve a vonatkozó, pontos jogi előírásokkal, amelyek az adatkezelése kapcsán irányadóak a Kötelezettre és Kötelezett jogelődjére nézve, tekintve, hogy az adatkezelés fővárosi és agglomerációs kiterjedtségű volt és 2024-ben 69 902 137 fő millió utast érintett. A Bírság Iránymutatás 55. pontjában példaként szerepel, hogy mi utalhat gondatlanságra: „Egyéb körülmények, mint például a meglévő szabályzatok be nem tartása, nem az e szabályzatoknak megfelelő értelmezés, emberi hiba, annak ellenőrzésének elmulasztása, hogy található-e személyes adat a közzétett információkban, a technikai frissítések időben történő elvégzésének elmaradása, a szabályzatok elfogadásának elmulasztása (szemben az alkalmazásuk egyszerű mellőzésével) gondatlanságra utalhatnak.” Fentiekre tekintettel megállapítható, hogy a Kötelezett jogelődje az adatkezelési műveleteit gondatlanul végezte.

(226) A Hatóság megállapította, hogy a gondatlanság mértéke a jogsértések esetében összességében tekintve közepesen súlyos volt, mert a Kötelezett jogelődje ugyan törekedett arra, hogy az adatvédelmi előírásoknak megfeleljen, azonban nem teljesen körültekintően, nem a személyszállítással főtevékenység keretében foglalkozó vállalkozástól elvárható módon a jogszabályoknak megfelelve alakította ki az adatkezelési gyakorlatát (érdekmérlegelési tesztet végzett, volt adatkezelési tájékoztatója és adatvédelmi szabályzata, a 2024. december 13-i szemlét követően törölte a korábban évekig jogellenesen tárolt felvételeket, a Megállapodást felfüggesztette, miután a Kerepesi Polgármesteri Hivatal adatvédelmi tisztviselője jelezte a Kötelezett jogelődjének adatvédelmi tisztviselője részére e-mailben 2022. október 6án, hogy időlegesen szüneteltessék a Megállapodást). A megállapított tényállás szerint azonban a Kötelezett jogelődje az adatvédelmi jogi normákkal, hazai jogszabályokkal nem volt teljes mértékben tisztában, az azoknak megfelelő intézkedéseket nem alakította ki teljeskörűen, továbbá személyes adatokhoz történő távoli hozzáférést biztosított olyan szerv részére, amelyre nem volt jogalapja.

3. Az érintett személyes adatok kategóriái:

(227) A jogsértések a személyes adatok különleges kategóriáit, és bűnügyi személyes adatokat is érintettek, igazolhatóan a Szilasligeti HÉV-megállóban elhelyezett kamerák élőképeihez (ideértve a közvetített hangsávot is) jogalap nélkül történő távoli hozzáférés biztosítása útján megvalósuló adattovábbítás eredményeként került be a Kerepesi Polgármesteri Hivatal rendszereibe, majd onnan nyilvánosságra egy érintett szexuális életére és az általa elkövetett bűncselekményre vonatkozó adata. A Kötelezett jogelődje hangrögzítési funkcióval ellátott kamerarendszerekkel folytatott megfigyelési tevékenységet az Szsztv. rendelkezéseivel ellentétesen végezte, azonban annak kapcsán nem igazolt, hogy a fentieken túl került-e sor és ha igen hány alkalommal különleges személyes adatok jogellenes kezelésére, azonban az nem is zárható ki teljesen. Itt olyan adatok is szóba jöhetnek, amelyek terjesztése azonnali kárt vagy stresszt okoz az érintettnek, például magánkommunikációra vonatkozó adatok, vagyis a megállókban várakozó érintettek telefonbeszélgetéseinek rögzítése, „megfigyelése.” A

Hatóság e körülményt a bírságkiszabás szempontjából súlyosbító körülményként kell, hogy értékelje [általános adatvédelmi rendelet 83. cikk (2) bekezdés g) pont, Bírság

Iránymutatás 4.2.3. 57. pontja].

4. A jogsértés súlyának minősítése és a megfelelő kiindulási összeg meghatározása:

c) A Hatóság által figyelembe vett további súlyosbító és enyhítő körülmények:

(231) Az általános adatvédelmi rendelet 31. cikke értelmében az adatkezelőt és az adatfeldolgozót általános együttműködési kötelezettség terheli. Az együttműködés hiánya az általános adatvédelmi rendelet 83. cikke (4) bekezdésének a) pontjában előírt bírság alkalmazásához vezethet. Ezért úgy kell tekinteni, hogy a rendes együttműködési kötelezettség kötelező, ezért azt semlegesnek (és nem enyhítő tényezőnek) kell tekinteni. Ha azonban a felügyeleti hatósággal folytatott együttműködés azzal a hatással járt, hogy korlátozza vagy elkerüli az egyének jogaira egyébként esetlegesen gyakorolt negatív következményeket, a felügyeleti hatóság ezt az általános adatvédelmi rendelet 83. cikke (2) bekezdésének f) pontja értelmében enyhítő tényezőnek tekintheti, ezáltal csökkentve a bírság összegét. Ez lehet a helyzet például akkor, ha az adatkezelő vagy - feldolgozó „meghatározott módon eleget tett a felügyeleti hatóság kéréseinek az adott eset vizsgálati szakaszában, minek eredményeként jelentősen mérséklődött a magánszemélyek jogaira gyakorolt hatás.

(232) A Hatóság a Bírság Iránymutatás fenti 5.5. pontjára tekintettel enyhítő körülményként értékelte, hogy a Kötelezett az eljárás során mindvégig teljeskörűen és határidőben választ adott a Hatóság megkeresésére, kiegészítő adatokkal segítette az eljárás lefolytatását, valamint együttműködött a Hatósággal a jogsértések orvoslása érdekében. Kötelezett a 2024. december 13-i helyszíni szemle befejezését követően törölte a jogellenesen tárolt felvételeket [NAIH-1589-9/2025. ügyiratszámú nyilatkozat]; a hangrögzítési funkciót pedig 2024. november 27-én leállította [általános adatvédelmi rendelet 83. cikk (2) bekezdés f) pont].

(233) A Hatóság enyhítő körülményként értékelte, hogy a Kötelezett illetve Kötelezett jogelődje által korábban elkövetett releváns jogsértés megállapítására a Hatóság által mindezidáig nem került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pontja].

(234) A Hatóság semleges körülményként értékelte az adatkezelő felelősségének mértékét

[Bírság Iránymutatás 5.3. pontja], az Iránymutatásnak megfelelően. [általános adatvédelmi rendelet 83. cikk (2) bekezdés d) pont].

(235) A Hatóság súlyosbító körülményként értékelte, hogy a Hatóság a Kötelezettel szemben érkezett bejelentés alapján észlelte a Kötelezett adatkezelési gyakorlata jogsértő jellegének valószínűségét [általános adatvédelmi rendelet 83. cikk (2) bekezdés h) pont, Bírság Iránymutatás 5.9. fejezet 98. pont]. (236) A Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdés c), i), j) és k) pontja szerinti körülményeket nem tartotta relevánsnak, mivel azok a konkrét ügy kapcsán nem értelmezhetők. (237) A fentiekre tekintettel a Kötelezett jogelődjének éves árbevételének figyelembevételével középmértékként alkalmazható bírság összeg minimumához közelítő, a közepesen súlyozott középértéket el nem érő bírság kiszabását látta a Hatóság hatékonynak, arányosnak és visszatartó erejűnek a vizsgált adatkezelés kapcsán, a határozatban megállapított 50.000.000 Ft, azaz ötvenmillió forint adatvédelmi bírság pedig 0,56 %a Kötelezett jogelődjének 2024. évi értékesítési nettó árbevételének, és csupán 0,64 %a az általános adatvédelmi rendelet szerint az ügyben kiszabható statikus bírságmaximumnak. (238) A fentiek és az eset összes körülménye alapján a Hatóság a rendelkező rész szerinti összegű adatvédelmi bírság kiszabását tartotta arányosnak és visszatartó erejűnek mind a speciális, mind az általános prevenció vonatkozásában, amely összeg jelentősen a bírságmaximum alatt van. Mindezek alapján a Hatóság a rendelkező részben foglaltak szerint döntött.

VII.2. A Kötelezett figyelmeztetése

(239) A Hatóság a korrekciós hatáskörében eljárva a Határozat Rendelkező Részében a Kötelezettet figyelmeztette az általános adatvédelmi rendelet 58. cikk (2) bekezdésének a) pontja alapján, hogy a HÉV-megállókban és állomáshelyeken tervezett hangrögzítéssel és hangtovábbítással járó megfigyelés valószínűsíthetően sérti az általános adatvédelmi rendelet alapelvi rendelkezéseit. (240) Az általános adatvédelmi rendelet preambulumának (26) bekezdése rögzíti, hogy „Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. (…)”, az tehát az adatkezelés jogalapjától független követelmény. Az Európai Unió Bírósága a C‑175/20. sz. ügyben, 2022. február 24-én hozott ítéletében kifejtette, hogy a közfeladata ellátása során, azzal összefüggésben személyes adatot kezelő adatkezelő is köteles az általános adatvédelmi rendeletben foglalt alapelveknek megfelelni, azaz „nem térhet el az e rendelet 5. cikkének (1) bekezdésében foglalt rendelkezésektől, amennyiben nem ruháztak rá ilyen jogkört az említett rendelet 23. cikkének (1) bekezdése értelmében vett jogalkotási intézkedés útján.” Erre tekintettel a Hatóság hangsúlyozza, hogy a Kötelezettnek adatvédelmi hatásvizsgálattal kell alátámasztania, hogy a nyilvános helyeken alkalmazott hangrögzítéssel járó megfigyelés kapcsán tervezett adatkezelése nem sérti az általános adatvédelmi rendelet alapelvi rendelkezéseit és előírásait (lásd bővebben a jelen Határozat VI.6. fejezetben foglaltak). (241) Az érintettekre nézve megjelenő magas kockázat miatt az Szsztv. 8. §-ának (Szsztv. 8.

§ (2) és (5) bekezdései) rendelkezéseire tekintettel az esetleges jövőbeni hangrögzítés vonatkozásában a Hatósággal történő előzetes konzultáció is szükséges lehet az általános adatvédelmi rendelet 36. cikke alapján. A figyelmeztetésre azért volt szükség a Hatóság megítélése szerint, mert a Kötelezett a NAIH-1589-3/2025. ügyiratszámon iktatott válaszában (2. pontban) az alábbiak szerint nyilatkozott: „Tekintettel arra, hogy 2025. január 1. napi hatállyal módosult a Személyszállítási tv. 8. § (2) bekezdése, ennek megfelelően tájékoztatjuk a Tisztelt Hatóságot, hogy a MÁV Személyszállítási Zrt. a kamerarendszereit nem állította át, hogy minden egyes kamera hangot is tudjon készíteni és kezelni, az adatkezelési felhatalmazás ellenére. A MÁV Személyszállítási Zrt. nem élt egyelőre ezzel a jogszabályi felhatalmazás adta lehetőséggel. Tájékoztatjuk a Tisztelt Hatóságot, hogy alapvetően a Társaságnál rendelkezésre álló kamerarendszerek nem is rendelkeznek minden esetben hangfelvétel tárolására alkalmas funkcióval, vagy amennyiben újabb modernebb kamerarendszer kerül(t) beszerzésre, ebben az esetben a hangrögzítés funkció kikapcsolt állapotban van. Álláspontunk szerint emiatt a Társaság részéről nem merült fel adatvédelmi hatásvizsgálat készítési kötelezettsége. A Társaság a jogszabályváltozástól függetlenül jelenleg sem végez hangrögzítést, kivéve a 2025. január 1. napja előtti szabályozásnak megfelelően a testkamerás megfigyelést és a gépjárműben (autóbusz) elhelyezett, a jegyértékesítési terület megfigyelésére alkalmazott fedélzeti kamerás megfigyelést.”

VII.3. A határozat nyilvánosságra hozatala

(242) Az Infotv. 61. § (2) bekezdése értelmében: „A Hatóság elrendelheti határozatának - az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha a) a határozat személyek széles körét érinti, b) azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy c) a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.” (243) Fenti megállapításokból következik, hogy a Kötelezett jogelődje számos jogsértést követett el, több alapelvi rendelkezést is megsértett, ezért a Hatóság a jogsértések jellegét közepesen súlyosnak ítélte meg. Az érintettek száma jelentős volt, a fő jogsértés, a hangot is rögzítő kamerarendszerek üzemeltetése pedig huzamosabb ideig, igazolható módon majdnem 4 évig (2020. november 30-tól 2024. november 27-ig) állt fenn, továbbá nem eseti jellegű volt, hanem rendszerszintű.

(244) Kötelezett jogelődje a megindult vizsgálati eljárásra tekintettel sem tartotta indokoltnak a honlapján közzétett adatkezelési tájékoztatóját a jogalap és a kezelt személyes adatok körét illetően felülvizsgálni, csupán az adatvédelmi hatósági eljárás hivatalbóli megindítását követően, már a lefolytatott helyszíni szemlét követően (2024. december 13.) tette azt meg. A 2020. november 3-tól hatályos Régi

Adatkezelési Tájékoztató a Kötelezett jogelődjének a weboldalán egészen 2024. december 31-ig az adatkezelés jogalapját és célját tekintve azonos tartalommal szerepelt.

(245) Az adatkezelés átláthatóságának sérelme következtében – a Kötelezett jogelődje honlapján elérhető Tájékoztató alapján – a Hatóság megítélése szerint az érintettekre nézve megtévesztő tájékoztatás volt azzal kapcsolatban, hogy mi az adatkezelés jogalapja. Erre tekintettel szükséges a Hatóság eljárása során megállapított tényállást és a kapcsolódó döntést elérhetővé tenni a Kötelezett honlapján is, hogy az érintettek figyelmét felhívja arra, hogy a jövőben az őket érintő adatkezelésekkel kapcsolatban körültekintően informálódjanak, járjanak el. (246) A fent megállapított jelentős számú érintettre tekintettel [a Határozat (23) bekezdése] a Hatóság az Infotv. 61. § (2) bekezdés a) és c) pontja alapján hivatalból elrendelte a végleges határozatának a Kötelezett azonosító adatainak közzétételével történő nyilvánosságra hozatalát nem csak a Hatóság saját honlapján, hanem a Kötelezett honlapjának nyitóoldalán, jól látható és könnyen hozzáférhető helyen, a határozat véglegessé válásától számított legalább 30 napon keresztüli időtartamban, annak érdekében, hogy az érintettek ezáltal egyértelmű tájékoztatást kapjanak különösen a Kötelezett jogelődje által, 2020. november 30. napjától 2024. november 27. napjáig folytatott adatkezelési műveletek kapcsán. VIII.

Ügyintézési határidő

(247) A Hatóság az ügyintézési határidőt túllépte, azonban annak az Ákr. 103. § (4)

bekezdésében meghatározott kétszeresét nem, figyelemmel az Infotv. 60/A. § (1) bekezdésére, amely szerint az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap, amely határidőbe nem számít bele a tényállás tisztázásához szükséges adatok közlésére irányuló felhívástól az annak teljesítéséig terjedő idő. Ez az idő az alábbi táblázat szerint 86 nap. Az adatvédelmi hatósági eljárás 2024. november 26-án indult meg, a határidő kétszerese 2025. szeptember 22-re tehető, amihez azonban hozzá szükséges számolni a tényállás tisztázásához szükséges időtartamot, amely az eljárás során 86 napot tett ki, valamint további 2 napot, ugyanis a Hatóság az igazgatási szünetről szóló 2023. évi XXVI. törvény 6. § (1) bekezdése alapján 2024.12.30-tól 2024.12.31-ig igazgatási szünetet tartott, így 2025. december 19. napján telne el az eljárási határidő kétszerese (Weboldal:https://www.naih.hu/hirek/718-hatosagi-kozlemeny-igazgatasi-szunetrolugyintezesi-hataridorol-es-a-kuldemenyek-erkezteteserol-2024-12-18). Az alábbi tényállás tisztázó végzések és az azokra adott nyilatkozatok között eltelt időtartam a következőképpen alakult:

• A NAIH-13678-2/2024. ügyiratszámú végzésre adott válasz a NAIH-13678- 4/2024. ügyiratszámú nyilatkozat, a teljesítésig eltelt határidő 14 nap. • A NAIH-1589-2/2025. ügyiratszámú végzésre adott válasz a NAIH-1589-3/2025. ügyiratszámú nyilatkozat, a teljesítésig eltelt határidő 18 nap. • A NAIH-1589-4/2025. ügyiratszámú végzésre adott válasz a NAIH-1589-5/2025. ügyiratszámú nyilatkozat, a teljesítésig eltelt határidő 15 nap. • A NAIH-1589-6/2025. ügyiratszámú végzésre adott válasz a NAIH-1589-7/2025. ügyiratszámú nyilatkozat, a teljesítésig eltelt határidő 21 nap • A NAIH-1589-8/2025. ügyiratszámú végzésre adott válasz a NAIH-1589-9/2025. ügyiratszámú nyilatkozat, a teljesítésig eltelt határidő 18 nap.

Ügyiratszám

Küldő-Címzett

Feladás időpontja

Letöltés

Határidő

Megnevezés

Eltelt idő

NAIH-13678-

NAIH- MÁV-HÉV

2024.11.26 2024.11.26 megindító végzés

NAIH-13678-

NAIH- MÁV-HÉV

2024.11.26 2024.11.26 10 nap határidő: 2024.12.06 tényállás tisztázása, helyszíni szemle elrendelése

NAIH-13678-

NAIH

2024.11.26 belső feljegyzés

NAIH-13678-

MÁV-HÉV-NAIH

2024.12.11 2024.12.11. válasz

NAIH-13678-

NAIH

2024.12.13 személyes átadás helyszíni szemle jegyzőkönyv

NAIH-13678-

NAIH- MÁV-HÉV

2024.12.13 személyes átadás zár alá vétel elrendelésevégzés

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

2025.01.16 jogutódlás bejelentése

NAIH-1589- NAIH- MÁV-

Személyszállítási

Zrt.

2025.03.05 2025.03.06

20 nap volt megadva;

határidő:

2025.03.26.

tényállás tisztázás

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

2025.03.25 2025.03.25 nyilatkozat

NAIH-1589- NAIH- MÁV-

Személyszállítási

Zrt.

2025.05.14 2025.05.14

20 nap volt megadva;

határidő:

2025.06.03.

tényállás tisztázás

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

NAIH-1589- NAIH- MÁV-

Személyszállítási

Zrt.

2025.07.09 2025.07.10 2025. aug. 4. volt a határidő tényállás tisztázás

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

NAIH-1589- NAIH- MÁV-

Személyszállítási

Zrt.

2025.10.02 2025.10.02 2025.10.22 tényállás tisztázás

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

NAIH-1589-

NAIH

2025.10.21 belső feljegyzés

IX. Egyéb kérdések

(248) A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdései határozzák meg, illetékessége az ország egész területére kiterjed. (249) A Hatóság jelen döntése az Ákr. 80.-81. §-ain és az Infotv. 61. § (1) bekezdésén alapul.

A döntés az Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, 114. § (1) bekezdése, valamint a 116. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van helye jogorvoslatnak. (250) A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés b) pontja szerint olyan jogvitában, amelyben a törvényszék kizárólagosan illetékes, a jogi képviselet kötelező. A Kp. 39. § (6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. (251) A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi

CXXX. törvény 604. §-a szerint alkalmazandó, a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló 2023. évi CIII. törvény (Dáptv.) 19. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett. (252) A Hatóság döntésével szembeni keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésein alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1) bekezdése és a 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

NAIH-1589- NAIH- MÁV-

Személyszállítási

Zrt.

2025.10.27 Ákr. 76. § szerinti felhívás

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

2025.11.03 iratbetekintési kérelem

NAIH-1589- NAIH- MÁV-

Személyszállítási

Zrt.

2025.11.06 döntés iratbetekintésről végzés

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

2025.11.12 kérdés

NAIH-1589- NAIH- MÁV-

Személyszállítási

Zrt.

2025.11.17 válasz

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

NAIH-1589-

NAIH

2025.11.26. iratbetekintésről jegyzőkönyv

NAIH-1589-

MÁV

Személyszállítási

Zrt.- NAIH

2025.12.03. nyilatkozat (253) Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §a szerint, ha a kötelezett a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. Az Ákr. 133. § (1) bekezdése értelmében a végrehajtást - ha törvény vagy kormányrendelet másként nem rendelkezik - a döntést hozó hatóság rendeli el. Az Ákr. 134. § (1) bekezdése értelmében a végrehajtást - ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik - az állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság döntésének végrehajtását a döntésben foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy abbahagyásra irányuló kötelezés vonatkozásában a Hatóság foganatosítja. Budapest, „az elektronikus aláírás és időbélyeg szerint”

Dr. habil. Péterfalvi Attila elnök c. egyetemi tanár