………………………………………………………………………………………………… 1055 Budapest Tel.: +36 1 391-1400 ugyfelszolgalat@naih.hu Falk Miksa utca 9-11. www.naih.hu

Ügyszám: NAIH-963-10/2022. Tárgy: hivatalból indult adatvédelmi Előzmény: NAIH-7432/2021. hatósági eljárás, bírság

HATÁROZAT A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a Siófoki Közös Önkormányzati Hivatal (székhely: 8600 Siófok, Fő tér 1., a továbbiakban:

## Ügyfél 1) és a Siófoki Rendőrkapitányság (székhely: 8600 Siófok, Sió utca 12-20., a továbbiakban: Ügyfél 2) vonatkozásában, Siófok közigazgatási területén arcfelismerésre

képes kamerákat is magában foglaló közterületi térfigyelő rendszer működtetése tárgyában hivatalból indított adatvédelmi hatósági eljárásban, melybe ügyfélként bevonásra került a

Techno-Tel Távközlési és Informatikai, Kivitelező és Szolgáltató Korlátolt Felelősségű

## Társaság (székhely: 8600 Siófok, Bajcsy-Zsilinszky út 212., a továbbiakban: Ügyfél 3) az

alábbi döntéseket hozza: I. A Hatóság

## 1. megállapítja, hogy Ügyfél 1 és Ügyfél 2 a közterületi térfigyelő rendszer általi adatkezelése során megsértette az információs önrendelkezési jogról és az

információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 25/B. § (1) bekezdését, 25/F. § (1) bekezdés d) pontját, a 25/F. § (4) bekezdését és a 25/I. § (3) bekezdés c) és e) pontját ;

## 2. elrendeli a végleges határozatnak az adatkezelő azonosító adatainak közzétételével

történő nyilvánosságra hozatalát. II. megállapítja, hogy Ügyfél 3 megsértette az Infotv. 25/D. § (3) bekezdés a) pontját és e jogsértés miatt

## 500. 000.-Ft, azaz ötszázezer forint adatvédelmi bírság

megfizetésére kötelezi. A bírságot a bírósági felülvizsgálat kezdeményezésére irányadó keresetindítási határidő lejártától számított 15 napon belül a Hatóság központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell megfizetni. Az összeg átutalásakor a NAIH-963/2022. BÍRS. számra kell hivatkozni. Amennyiben Ügyfél 3 a bírságfizetési kötelezettségének határidőben nem tesz eleget, késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat, amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik meg. A késedelmi pótlékot a Hatóság központosított bevételek beszedési célelszámolási forintszámlája (10032000-01040425-00000000 Központosított beszedési számla) javára kell megfizetni. A bírság és a késedelmi pótlék meg nem fizetése esetén a Hatóság elrendeli a határozat, a bírság és a késedelmi pótlék végrehajtását. A bírság és a késedelemi pótlék adók módjára történő behajtását a Nemzeti Adó- és Vámhivatal végzi. A hatósági eljárás során eljárási költség nem merült fel, ezért annak viseléséről nem rendelkezett a Hatóság. Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügyirataival együtt továbbítja a bíróságnak. A teljes személyes illetékmentességben nem részesülők számára a közigazgatási per illetéke 30 000 Ft, azaz harmincezer forint a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban a jogi képviselet kötelező.

## INDOKOLÁS

## I. Tényállás, előzmények

A Hatóság sajtóhírekből arról értesült, hogy Siófok Város Önkormányzata arcfelismerésre képes mesterséges intelligenciával bővített, 39 kamerából álló kamerarendszert kíván kiépíteni a Petőfi sétányon a közterület megfigyelése érdekében. Mivel az arcfelismerésre képes rendszerek működtetése számos adatvédelmi aggályt vet fel, a Hatóság az Infotv.

## 51/A. § (1) bekezdése alapján NAIH-5481/2021. számon vizsgálatot indított, amelynek

során felvilágosítást kért Siófok Város Önkormányzatától az adatkezelés részleteiről, továbbá kérte több dokumentum megküldését. Siófok Város Önkormányzata a Hatóság megkeresésére adott válaszában a kért dokumentumokat – bár azok megküldésére hivatkozott – nem bocsátotta a Hatóság rendelkezésére. E polgármesteri válasz szerint Siófok város területén 2014. évtől kezdődően a közterületfelügyeletről szóló 1999. évi LXIII. törvény (a továbbiakban: Kftv.) 7. § (3) bekezdése alapján közterületi kamerarendszer került kiépítésre, melynek üzemeltetője Ügyfél 1 szervezeti egységeként működő Városőrség (a továbbiakban: Városőrség). A Városőrség és Ügyfél 2 között a bűnmegelőzés és közbiztonság fenntartása tárgyában együttműködés alakult ki, melynek keretében Ügyfél 2 közreműködött a 2020. évben elkezdődött kamerarendszer fejlesztésében, és az ajánlattételi felhívások előkészítésében folyamatosan részt vett. Siófok Város Önkormányzata 2021. év április 18. napján meghívásos ajánlattételi felhívást küldött ki „Siófok Város Önkormányzata kamerarendszerének korszerűsítése keretében kamerák, eszközök beszerzése” tárgyában három gazdasági társaság részére. Az ajánlattételi eljárás eredményeképpen 2021. év április 29. napján adás-vételi szerződést kötött Siófok Város Önkormányzata a Video-Data Kft.-vel, amely alapján 2021. év május 15. napján megtörtént a siófoki Petőfi sétányon a régi kamerák leszerelése, majd 2021. június 15. napján megtörtént az újonnan beszerzett kamerák felszerelése. Szintén 2021. június 15. napján került sor a tesztüzemre, valamint a közterület-felügyelők és rendőrök oktatására, azonban ez nem terjedt ki az (Ügyfél 1 szóhasználatával élve) arcdetektáló funkció alkalmazására. A polgármester válaszában nyomatékosan hangsúlyozta, hogy bár a beszerzett kamerák rendelkeznek arcdetektáló funkcióval, azonban az nem került aktiválásra. Rögzítette, hogy az adatkezelő által elkészített előzetes hatásvizsgálat szerint a mesterséges intelligencia használata magas kockázattal járna az érintettek jogaira nézve. E hatásvizsgálat eredményeképpen – a mesterséges intelligencia használatát megelőzően – kezdeményezni kívánta az adatkezelő a Hatóságnál az Infotv. 25/H. § szerinti előzetes eljárás lefolytatását. A mesterséges intelligencia alkalmazásának indokoltsága – a válasz szerint – abból fakad, hogy a nyári időszakban és különösen hétvégente, az esti órákban rengeteg – több ezer ember fordul meg a Petőfi sétányon lévő szórakozóhelyeken. Mindezzel együtt jár a bűncselekmények, illetve szabálysértések számának drasztikus emelkedése. A mesterséges intelligenciával ellátott kamerarendszer használatával sokkal eredményesebbé válna a bűncselekmények/szabálysértések megelőzése és a bűncselekmények felderítése. Rendszeresen gondot okoz a nyomozó hatóságnak, hogy az elkövető a tömegben eltűnik, mindez az új technológia alkalmazásával kiküszöbölhetővé válna. A kamerafelvételek visszanézése ráadásul több napnyi időt is igénybe vehet, míg a mesterséges intelligencia használatával ez az idő jelentősen rövidülhetne. A válasz szerint a mesterséges intelligencia – amennyiben be van kapcsolva – az alábbiak szerint működne: A kamera észleli a felvételen megjelenő személyek arcát; a felvételek a zárt informatikai rendszerben telepített rögzítőkön tárolódnak, amelyek legkésőbb 30 naponta felülíródnak. Az arcdetektálás használata során arcokról készülnek külön ún. bélyegképek is, melyek átkerülnek a rendszer video menedzsment szerver gépére (DSS Server) és egy dedikált HDD-n kerülnek letárolásra. Mindez lehetővé teszi az operátor számára, hogy intézkedés esetén a video menedzsment kliens gépről (DSS Client) gyorskeresést hajtson végre a letárolt bélyegképek között. Ezen rendszer nincsen összekötve semmilyen adatbázissal, az adatbázis nem kerül továbbításra, kizárólag a rendszer tárolja azt. Amennyiben az érintett mozgását követnék le, úgy a megjelölt arcképet a rendszer adatbázisában lévő arcképpel hasonlítaná össze. A mesterséges intelligencia alkalmazásának elindításához mindenképpen emberi beavatkozás szükséges. Az adatkezelő által működtetett kamerarendszer nem áll kapcsolatban a Nemzeti Infokommunikációs Szolgáltató Zrt. által végzett adattárolással. A válasz szerint továbbá az adatkezelés célja a Ktftv. 7. § (3) bekezdés alapján a közbiztonság fenntartása, bűnmegelőzés, az intézkedés és az esetleges jogsértések dokumentált rögzítése, továbbá a felvételek felhasználása a jogsértéssel összefüggésben indított eljárásokban. A válasz kitér arra is, hogy az adatkezelő érdekmérlegelési tesztet készített, melyben azt állapította meg, hogy a mesterséges intelligencia alkalmazása arányos lenne az elérni kívánt céllal, figyelemmel arra, hogy csak a város meghatározott területén és meghatározott időszakban alkalmaznák azt. A válasz rögzíti, hogy a kamerarendszert az Infotv. 5. § (1) bekezdés a) pontja és a Ktftv. 1. §-a és a 7. § (3) bekezdés alapján a Városőrség (közterület-felügyelet) működteti. Az adatkezelő álláspontja szerint az arcdetektáló rendszer használatának jogalapja az Infotv. 5. § (2) bekezdés b) pontja és a Ktftv. 1. §-a és a 7. § (3) bekezdése. Bár a válasz hivatkozik mellékletekre, dokumentációkra, azok megküldésére mégsem került sor. A Hatóság megítélése szerint a vizsgálat tárgyát képező ügy vizsgálati eljárás keretében nem volt tisztázható, ezért az Infotv. 55. § (1) bekezdés ab) pontja, valamint a 60. § (1)

## bekezdése alapján a vizsgálati eljárást lezárta és hivatalból hatósági eljárást indított

Siófok Város Önkormányzatával szemben NAIH-6212/2021. számon.

Az adatvédelmi hatósági eljárás keretében a Hatóság nyilatkozattételre hívta fel Siófok Város Önkormányzatát, melynek nevében Siófok Polgármestere válaszolt 2021. augusztus 3. napján. Ezen és a korábban, a vizsgálati eljárás keretében adott válaszban, illetve annak mellékleteiben kettő kameraterem, illetve operátori helyiség került megjelölésre. Az egyik ilyen helyiség a Városőrség kameraterme (8600 Siófok, Kálmán Imre sétány 4. szám), míg a másik helyiség Ügyfél 2 székhelyén került kialakításra. Az Ügyfél 1-re vonatkozó adatkezelési tájékoztató – amely a válasz mellékletét képezte – alapján Siófok Város területén elhelyezett közterületi kamerák adatkezelője a Városőrség, melyet a jegyző képvisel; továbbá az Önkormányzat Szervezeti és Működési Szabályzatáról szóló Siófok Város Önkormányzat Képviselő-testületének 9/2013. (III.3.) önkormányzati rendelete (a továbbiakban: Rendelet) 5. § (5) bekezdése szerint a képviselő-testület hivatali szervezete a Siófoki Közös Önkormányzati Hivatal, melynek telephelye a Siófoki Közös Önkormányzati Hivatal Városőrség kameraterme. A Rendelet 46. §-a szerint Ügyfél 1 jogi személy, önállóan működő és gazdálkodó költségvetési szerv. A Rendelet 3. számú melléklete szerint a Városőrség Ügyfél 1 szervezeti egysége a Hatósági Osztályon belül. A Válasz rögzíti, hogy Siófok Város Önkormányzata, illetve Ügyfél 1 és a Somogy Megyei Rendőr-főkapitányság között 2013. évben együttműködési megállapodás (a továbbiakban: Együttműködési Megállapodás) jött létre – melyet válaszához csatolt is –, amely megalapozza a közterületi kamerák tekintetében az együttműködést. E szerint a nyári időszakban a közterület-felügyelők jelenlétében a rendőrség épületében lévő – zárt, kizárólag belépési engedéllyel rendelkezők részére megközelíthető – megfigyelő helyiségben jelen van a rendőrség részéről a szolgálatvezető, aki esemény észlelése esetén értesíti a helyszínen lévő rendőröket. Amennyiben a rendőrségnek – az eljárása lefolytatásához – a közterületi kamerarendszer által rögzített felvételre van szüksége, úgy az írásbeli kérelem – megkeresés – benyújtását követően kerül átadásra a rendőrség részére a Ktftv. rendelkezéseinek megfelelően. A válasz szerint az adatkezelő az adatvédelmi hatásvizsgálat eredményeként azt állapította meg, hogy mivel biometrikus adat kezelésére kerülne sor, az magas kockázattal járna az érintettek jogaira nézve, emiatt döntött úgy az adatkezelő, hogy nem alkalmazza a kamerák ezen funkcióját, hanem előzetes konzultációt kívánt kezdeményezni a Hatóságnál. Az alkalmazás beüzemeléséről az adatkezelő döntene akként, hogy szabályzatban rögzítené, hogy csak a Petőfi sétány területén és csak nyári időszakban hétvégente lehetne alkalmazni, máshol és máskor nem; a funkciót az éppen szolgálatot teljesítő közterületfelügyelő aktiválná. A válasz részletezi az arcfelismerő alkalmazás működését, melyet következetesen arcdetektálásnak jelöl. A válaszhoz mellékelték a Hatóság által kért ajánlattételi eljárás iratait, valamint a Video- Data Kft.-vel megkötött szerződés másolatát. Szintén csatolták az adatvédelmi hatásvizsgálatokat, melyek közül az egyik a mesterséges intelligencia nélkül történő adatkezelésre vonatkozik, a másik pedig a mesterséges intelligencia használatával történő adatkezelésre. Szintén a válasz mellékletét képezte az érdekmérlegelési teszt másolata, a kamerarendszer hálózati topológiája, a kamerarendszer alépítmény építés kiviteli terve, a Petőfi sétány kameráinak elhelyezkedésére vonatkozó dokumentum, továbbá a Siófok város közigazgatási területén elhelyezett közterületi képfelvevők elhelyezésének kijelöléséről szóló előterjesztés, a Siófok város közigazgatási területén elhelyezett képfelvevők számának változásáról, a 145/2013. önkormányzati határozat módosításával szóló előterjesztés, továbbá a Siófok város közigazgatási területén elhelyezett közterületi képfelvevők elhelyezésének kijelöléséről szóló előterjesztés és az azok alapján meghozott képviselő-testületi határozatok másolata.

A becsatolt dokumentumok tartalma alapján az alábbiak emelendőek ki: Ügyfél 1 Siófok Város területén található közterületi kamerákkal kapcsolatos adatkezelési tájékoztatója szerint a kezelt személyes adatok köre a közterületi kamerával megfigyelt területre belépő személyek képmása (kép- és videofelvétel). Az adatkezelés célja a Magyarország helyi önkormányzatairól szóló 2011. évi CLXXXIX. törvény 13. § (1) bekezdés 17. pontja és 17. §-a; a Ktftv. 1. §, 7. § (3) bekezdése szerinti közbiztonsági, bűnmegelőzési cél, valamint az önkormányzati és közösségi vagyon védelme. Az adatkezelés jogalapja az Infotv. 5.§ (1) bekezdés a) pontja, valamint a Ktftv. 1. §-a és a 7. § (3) bekezdése. A közterületi kamerák által rögzített felvétel a rögzítést követően a Ktftv. 7. § (7) bekezdés b) pontjában foglalt időpont elteltével törlésre kerül. Adatfeldolgozóként Ügyfél 3 került meghatározásra. Az Együttműködési Megállapodás a közterületi kamerarendszer vonatkozásában rendelkezést nem tartalmaz. A mesterséges intelligencia nélkül történő adatkezelésre vonatkozó adatvédelmi hatásvizsgálat szerint az adatkezelés célja kellően meghatározott és jogszerű, figyelemmel arra, hogy az adatkezelést a Ktftv. írja elő; az adatkezelés a cél elérésével arányos és a cél hatékony megvalósításához szükséges. A mesterséges intelligenciával történő adatkezelésre vonatkozó adatvédelmi hatásvizsgálat szerint az adatkezelés jogalapja az Infotv. 5. § (1) bekezdés b) pontja, valamint a Ktftv. 1. §-a és a 7. § (3) bekezdés; az adatvédelmi tisztviselő javasolja a mesterséges intelligencia alkalmazásának mellőzését, figyelemmel arra, hogy biometrikus adat kezelése történik, és véleménye szerint kétséget kizáróan nem állapítható meg az, hogy az adatkezelés alkalmazása arányos az elérni kívánt céllal. Figyelemmel arra, hogy az adatkezelés során biometrikus adat kezelésére is sor kerülne, és az adatkezelés magas kockázattal járna az érintettek jogaira és szabadságaira nézve, az adatkezelő a mesterséges intelligencia alkalmazását megelőzően kezdeményezi a Hatóság előzetes konzultációs eljárását. Az érdekmérlegelési teszt szerint az adatkezelés valóban korlátozza az érintettek személyes adatai védelméhez való alkotmányos alapjogát, azonban a korlátozás egy társadalomban széles körben elismert érdek, a közbiztonság és a bűnmegelőzés érdekében történik; az adatkezelő által alkalmazni kívánt intézkedések (csak meghatározott időszakban, csak meghatározott területen történne az adatkezelés) arányossá teszik a korlátozást. A Hatóság 2021. augusztus 26. napján helyszíni szemlét rendelt el Ügyfél 1 és Ügyfél 2 székhelyén, valamint a Városőrség kamera termében. Az Ügyfél 1 székhelyén tartott helyszíni szemlén jelen volt dr. Sárközy József jegyző, dr. Kovács Nikoletta adatvédelmi tisztviselő, ………………. közterület-felügyelő, valamint ………….. mint Ügyfél 3 képviselője és ………….. mint Ügyfél 3 alkalmazottja. A helyszíni szemle keretében dr. Kovács Nikoletta adatvédelmi tisztviselő a Hatóság eljáró tagjának kérdésére előadta, hogy a közterületi kamerarendszer kameraterme Ügyfél 2 székhelyén található; adatkezelőnek a Városőrséget tekintik, szerverek több helyszínen is találhatóak, így Ügyfél 1 és Ügyfél 2 székhelyén, továbbá a Városőrség kameratermében (Kálmán Imre sétány). Előadta továbbá, hogy a kamerás megfigyelés kizárólag az Ügyfél 2 épületében történik a közterület-felügyelők által, azonban a nyári időszakban a rendőrség hivatásos állományú tagjai is jelen vannak; Ügyfél 2-vel történő együttműködésre az

Együttműködési Megállapodás szolgál alapul. Elmondta azt is, hogy a kamerarendszer arcdetektáló funkciója nem üzemel, annak próbaüzemére sem került sor. Előadta, hogy a vonatkozó adatkezelési tájékoztató a város honlapján magyar nyelven érhető el, a kamerák geolokáció szerint, irányszögükkel vannak feltüntetve. Amennyiben az arcdetektáló funkció használatba kerülne, úgy az adatvédelmi szabályzatot módosítanák, illetve specifikus táblákat is kihelyeznének. A hatóságoktól érkező adatkéréseket dokumentálják, a Rendőrség minden esetben lefoglaló határozatot és jegyzőkönyvet állít ki. Ügyfél 3 a felvételek kezelése kapcsán nyújt műszaki támogatást. …………… mint Ügyfél 3 képviselője előadta, hogy az adattárolás kizárólag Ügyfél 1 épületében történik, míg Ügyfél 2 és a Városőrség kameratermében video megjelenítési lehetőség van; mindkét helyszínen 2-2 munkaállomás van kialakítva, ahonnan a DSS rendszer funkció elérhető. Az adattovábbítás biztonságos optikai kábelen történik. Elmondta, hogy korábban önálló projektek keretében több gyártó eszközei kerültek a városba 2013. évtől kezdődően, azonban olyan platform beszerzése vált szükségessé, amely képes az összes kamerarendszer adatainak kezelésére, így esett a választás a Dahua kamerákra. Ugyanakkor az arcdetektálás lehetősége nem volt elvárás, bár a kamerarendszer erre is képes; a város területén működő valamennyi kamera képe a munkaállomásokról elérhető egységes rendszerben. A siófoki Petőfi sétányon 38 Dahua kamera kiépítését végezték el, ebből 14 PTZ és 24 fix kamera. Előadta, hogy az arcdetektáló funkció használatához előzetes technikai beavatkozás lenne szükséges a gyártó és az üzemeltető részéről. ……………………. közterület-felügyelő nyilatkozata szerint a Városőrség kameratermében egész évben történik megfigyelés, azonban nem állandó jelleggel, hanem időszakonként. Előadta, hogy a közterület-felügyelők azonos loginnal lépnek be a rendszerbe; egyedileg nem rögzül, hogy ki lépett be, a szolgálati beosztás alapján szűkíthető le a belépők köre. A Hatóság eljáró tagjai megtekintették a szervertermet, ahol kettő IVSS szerver került elhelyezésre, amelyek rendelkeznek mesterséges intelligenciával. Ügyfél 1 átadta a Hatóság eljáró tagjai részére a szerverterembe való belépésre jogosultak névsorát. Az Ügyfél székhelyén tartott helyszíni szemlén jelen volt ………………………………………….., dr. Kovács Nikoletta mint Ügyfél 1 adatvédelmi tisztviselője, ………………………….. közterület-felügyelő, továbbá ………………… és ……………….. Ügyfél 3 részéről. A Hatóság eljáró tagjai megállapították, hogy az operátori szoba és a szerver szoba fizikai biztonsággal védett. ………………………………………….. előadta, hogy az Ügyfél 2 hivatásos állományába tartozó rendőrök a kameraképek megfigyelésében vesznek részt; az operátori helyiségbe történő belépés a váltásparancsnok őrzése alatt lévő kulccsal lehetséges, melynek átvételét dokumentálják. A kulcsot kizárólag a rendőrség hivatásos állományú tagjai és a közterületfelügyelők vehetik át. Ügyfél 3 munkatársai kizárólag rendőri kísérettel mozoghatnak az épületben. A kamerás megfigyelésre nem folyamatosan, hanem indokolt esetben, így különösen városi esemény, rendezvény vagy súlyosabb bűncselekmény gyanúja esetében kerül sor. Ügyfél 2 hivatásos állományú tagja kizárólag élőkép megfigyelését és aktuális esemény közvetlen, pár perces előzményének visszanézését végezheti dokumentált módon. Mindezen túl a mentett kamerafelvételeket a Városőrség megkeresésével, lefoglaló határozattal szerzi be Ügyfél 2. Nyilatkozata szerint arcfelismerő, illetve arcdetektáló funkció használatára nem képes a rendőrség.

A Hatóság helyszíni szemléjének idején az operátori helyiségben a rendőrség hivatásos állományú tagja végzett megfigyelést. A Hatóság informatikai szakértelemmel bíró eljáró tagja megvizsgálta a vizsgálat tárgyát képező rendszer központi DSS konzolját, melynek adminisztrátori felülete webes böngésző segítségével érhető el. Az eléréshez szükséges adatokat Ügyfél 3 mint adatfeldolgozó munkatársa, ………………… ismerte és lépett be adminisztrátori jogosultsággal. A Hatóság eljáró tagja megállapította, hogy Police, Technotel, Operátor és Adminisztrátor szerepkörök voltak beállítva, továbbá Police, Városőrség, Technotel és System felhasználó került rögzítésre. Egyetlen élő és használható logállományból annyi volt megállapítható, hogy system administrator jogosultsággal szerepkör és felhasználó törlés, létrehozás és módosítás történt 2021. augusztus 26. napján 13 óra 13 perc és 13 óra 22 perc között. Törölt felhasználónevek: Laci, user; törölt szerepkörök: Glaci, Nezo; hozzáadott szerepkör: police; míg módosított felhasználó: Police, Technotel. Egyéb log állomány vizsgálatára a rendszer alkalmatlan volt. Ügyfél 3 munkavállalója, …………….. előadta, hogy már többször is jelezték a logolás hibáját a Dahua mint gyártó felé. Fentieket az ügyfelek helyszínen jelen lévő képviselői nem vitatták, a jegyzőkönyv tartalmával kapcsolatban észrevételt, illetve egyéb módosítási javaslatot nem tettek. A licensz fájl vizsgálata alapján megállapítható volt, hogy 284 csatornára megvásárolt licenszből 274 video csatorna volt aktív és 69 csatornára aktiválható arcfelismerés licenszből 0 csatorna volt aktív. A rendszer állapotlapjáról megállapítható volt, hogy 33 eszköz volt online, 2 pedig offline a rendszerben; továbbá 2 felhasználó volt online és 2 offline; továbbá 17 szolgáltatás volt online. A rendszer 1823 GB tárolókapacitásából 1365 GB volt használatban a helyszíni szemle időpontjában. Mindezen körülményekről a Hatóság eljáró tagja fényképfelvételt készített. ……………….közterület-felügyelő kérdésre elmondta, hogy jogosultsági nyilvántartásról nem tud, csak arról ami a rendőrségnek áll rendelkezésére, továbbá naplóadatok sem állnak a Városőrség rendelkezésére. A jegyzőkönyv mellékletét képezi a „Kimutatás kameraszoba használatáról” dokumentum, amely tartalmazza az operátori szoba használatának időpontját és az ott tartózkodók megjelölését, továbbá annak rögzítését, hogy történt-e lefoglalás. E dokumentumok tanúsága szerint 2020. augusztus 20. és 2021. augusztus 26. napja között mindösszesen 19 esetben használták az operátori helyiséget, továbbá az esetek döntő többségében nem tüntettek fel közterület-felügyelőt a rendőr mellett. Továbbá szintén az esetek jelentős részében, kb. felében konkrét büntető- és szabálysértési ügyek feltüntetésére is sor került célként. A Hatóság eljáró tagjai a Városőrség kameratermének vizsgálata során megállapították, hogy a kamerahelyiség egy szobából áll, ott található kettő munkaállomás, amelyekről a közterületi kamerarendszer felhasználónév és jelszó megadása után elérhető;

a kameraterem a siófoki Kálmán Imre sétányról nyílik, a fizikai biztonságot egy, közvetlenül az utcáról nyíló ajtó jelenti; a kamerahelyiségben senki sem tartózkodott a helyszíni szemle időpontjában, az üresen állt. Az adatvédelmi hatósági eljárás keretében beszerzett adatok alapján kétséget kizáróan megállapíthatóvá vált, hogy Siófok Város Önkormányzata nem minősül adatkezelőnek, közös adatkezelőnek és adatfeldolgozónak sem. A fentiekre tekintettel a Siófok Város Önkormányzata mint ügyféllel szemben folyt NAIH-6212/2021. számon folyt adatvédelmi hatósági eljárást a Hatóság megszüntette. Azonban az arcfelismerésre is képes új kamerákkal bővített térfigyelő rendszer, illetve azzal megvalósuló adatkezelés hatósági eljárásban történő vizsgálata továbbra is szükséges volt és Ügyfél 1-gyel, illetve Ügyfél 2vel szemben NAIH-7432/2021. számon adatvédelmi hatósági eljárást indított a Hatóság, melyben a NAIH-6212/2021. számon folyt eljárás iratait felhasználta. Ügyfél 1 ügyféli jogállásának alapja, hogy a Ktftv. által adatkezelőként kijelölt közterületfelügyelet – jelen esetben a Városőrség – Ügyfél 1 szervezeti egysége. Ügyfél 2 ügyféli jogállásának alapja, hogy részt vesz a kamerarendszerrel történő megfigyelésben, melyet az adatkezelő rendszer saját székhelyén lévő eszközelemeivel végez, így adatkezelési tevékenységet folytat. A tényállás tisztázása keretében a Hatóság Ügyfél 1-et nyilatkozattételre hívta fel. Ügyfél 1 válasza szerint a szerepkörök módosítására nem adott ki utasítást, azt Ügyfél 3 alkalmazottja önhatalmúlag végezte el; egyúttal csatolta Ügyfél 3 erre vonatkozó nyilatkozatát azzal, hogy az esetet kivizsgálta és megtette a szükséges lépéseket az adatfeldolgozóval szemben. Válaszában kifejtette, hogy a rendőrség hivatásos állományú tagjai a városőrök (közterület-felügyelők) jelenlétében használták a kamerarendszert. Csatolta a Dahua Technology Hungary Kft. által írásban adott, a log fájlok hibáival kapcsolatos, 2020. november 5. napján kelt elektronikus választ. Válaszában közölte azt is, hogy a 2021. június 10. napján a város honlapján megjelent hírben szereplő eset felderítése során nem alkalmaztak mesterséges intelligenciát; egyúttal megküldte Ügyfél 2 lefoglaló határozatát, amellyel lefoglalták a releváns felvételt. A tényállás tisztázása keretében a Hatóság megkereste Ügyfél 2-t, amely válaszában rögzítette, hogy az operátori helyiségben elhelyezett DSS terminálon Ügyfél 2 állományának egy tagja sem végzett szerepkör és felhasználó törlést, módosítást és létrehozást. Nyilatkozata szerint a rendőrség hivatásos állományú tagja kizárólag városőr (közterületfelügyelő) jelenlétében férhetett hozzá a kamerarendszerből kinyerhető adatokhoz, tekintettel arra, hogy Ügyfél 1 minősül adatkezelőnek; ugyanakkor azt is rögzítette, hogy közös adatkezelést végez a rendőrség a kamerarendszer használata során, azonban minden eljáráshoz szükséges az adat (felvétel) hivatalos eljárásban történő beszerzéséhez, felhasználásához az adatkezelő megkeresése, és az adat lefoglalása; az új ”police” szerepkör korlátozott lehetőséget nyújt a rendszer használatához, azonban beállítása óta is megmaradt az a gyakorlat, hogy a Városőrség segítségét kérik az adatok kinyeréséhez. Nyilatkozata szerint a 2021. június 10. napján elkövetett bűncselekmény felderítésére nem alkalmazták a mesterséges intelligenciát; egyúttal megküldte az e bűncselekmény miatt folytatott eljárásban kiadott lefoglaló határozatot. Nyilatkozata szerint 2021. július 12. és 2021. augusztus 26. napja között történt operátori megfigyelés az operátori helyiségben. A Hatóság rendelkezésére álló „Kimutatás kameraszoba használatáról” dokumentum ugyanakkor ezen időszak tekintetében nem tartalmaz bejegyzést. A Hatóság a tényállás tisztázása keretében megkereste a Dahua Technology Hungary Kft.-t. A Dahua Technology Hungary Kft. válaszában kifejtette, hogy a projektben a Dahua kizárólag termékeket biztosított, nem vettek részt a beszerzésre irányuló szerződésben;

2020. és 2021. évben értékesítette a projekthez kapcsolódó zártláncú megfigyelési termékeket magyarországi forgalmazóknak. Kifejtette azt is, hogy egyes termékeik támogatják az arcdetektálás/arcfelismerés funkciót (FD/FR funkció), amely alapértelmezés szerint ki van kapcsolva, és a végfelhasználók igénye esetén manuálisan kell aktiválni; az a személy, aki ezirányú képzettséggel rendelkezik, vagy aki korábban már működtette a készülékeket, tudhatja hogyan kell aktiválni a funkciót; mindehhez adminisztrátori jogosultság szükséges. A beszerzett adatok alapján megállapítható volt, hogy Ügyfél 3 az adatkezelő rendszer használatához nyújt műszaki támogatást, jelen hatósági ügy közvetlenül érinti jogát, jogos érdekét, ezért ügyfélkénti bevonása és nyilatkozattételre való felhívása a NAIH-7432- 8/2021. számú végzésben 2021 november 30. napján megtörtént. A rendelkezésre álló adatok szerint Ügyfél 3 munkavállalója a Hatóság helyszíni eljárásának idején – utasítás nélkül – szerepkör és felhasználó törlést, illetve létrehozást végzett Ügyfél 2 operátori helyiségben elhelyezett DSS terminálon.

Ügyfél 3 erre vonatkozó nyilatkozata szerint kommunikációs félreértés történt a Hatóság részéről az eljárásban az ún. log fájlok vonatkozásában; ugyanis a DSS Pro rendszerben a tevékenységre vonatkozó log állományok (Kliens műveleti napló és a Webkezelő üzemeltetési napló) vonatkozásában – szemben a ”system log-gal” – nem tapasztaltak hibás működést. A helyszíni ellenőrzés során Ügyfél 3 munkatársa a ”System log” vagyis Rendszernapló tekintetében tett nyilatkozatot. Tekintettel arra, hogy nem tapasztaltak hibás működést a Kliens műveleti napló és a Webkezelő üzemeltetési napló vonatkozásában, így jelentést nem készítettek, intézkedést nem kezdeményeztek. Ügyfél 3 álláspontja szerint nem helytálló a Hatóság azon vélekedése, hogy a felhasználói tevékenységnapló (Webkezelő/Kliens műveleti napló) rendellenesen működne; továbbá az, hogy a system log (Rendszernapló) nem tartalmaz bejegyzéseket hibának nem minősül. Kifejti továbbá, hogy a NAIH-6212-6/2021. számú jegyzőkönyv 3. számú melléklete esetében az időszakszűrő csak egy napos időintervallumra volt beállítva (2021.08.26-tól 2021.08.26-ig). Ügyfél 3 értetlenségének adott hangot a tekintetben, hogy mi képezheti a Hatóság azon feltételezésének alapját, miszerint a felhasználói beavatkozások naplózása nem megfelelő. Mindennek igazolására csatolta a helyszíni szemlét követő időszakra vonatkozóan a Webkezelő üzemeltetési napló 2021. november 21. és november 27. napja, és a Kliens műveleti napló 2021. november 20. és november 26. napja közötti adatait. Egyúttal kijelentette, hogy üzemeltetőként nincs tudomásuk arról, hogy a rendszer tevékenység naplózása nem, vagy hibásan működne, így intézkedést nem tettek. Közölte továbbá, hogy a tevékenység naplózás időintervalluma jelenleg a gyárilag beállított 30 napos időtartam, eszerint a mindenkori utolsó 30 napban történt felhasználói tevékenységek tekinthetőek meg az eseménynaplóban; amennyiben a Hatóság e beállítást módosítani ”kívánja”, úgy kéri az időtartam meghatározását.

Ügyfél 3 állításainak alátámasztására megküldte a Kliens műveleti napló és a Webkezelő üzemeltetési napló screenshot-ját azzal a megjegyzéssel, hogy azok tökéletesen működnek.

Ügyfél 3 válaszával együtt megküldte a 2020. szeptember 24. napján kelt Siófok Város Önkormányzata mint megrendelő/adatkezelő és Ügyfél 3 mint vállalkozó/adatfeldolgozó között megkötött ”Átalánydíjas karbantartási és adatfeldolgozói szerződést” (a továbbiakban: Szerződés).

Ügyfél 1 Ügyfél 3 válaszával azonos tartalmú nyilatkozatot juttatott el a Hatósághoz 2021. december 21. napján a log fájlok vonatkozásában.

## II. Alkalmazott jogszabályi rendelkezések

Az Infotv. 2. § (3) bekezdése szerint személyes adatok bűnüldözési, nemzetbiztonsági és honvédelmi célú kezelésére e törvényt kell alkalmazni. Az Infotv. 3. § 2. pontja szerint a személyes adat az érintettre vonatkozó bármely információ Az Infotv. 3. § 3. értelmében különleges adat a személyes adatok különleges kategóriáiba tartozó minden adat, azaz a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok. Az Infotv. 3. § 3b. pontja szerint biometrikus adat az egy természetes személy fizikai, fiziológiai vagy viselkedési jellemzőire vonatkozó olyan, sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, mint például az arckép vagy a daktiloszkópiai adat. Az Infotv. 3. § 4. pontja szerint bűnügyi személyes adat a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat. Az Infotv. 3. § 9. pontja értelmében adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. Az Infotv. 3. § 9a. pontja alapján közös adatkezelő az az adatkezelő, aki vagy amely törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között - az adatkezelés céljait és eszközeit egy vagy több másik adatkezelővel közösen határozza meg, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket egy vagy több másik adatkezelővel közösen hozza meg és hajtja végre vagy hajtatja végre az adatfeldolgozóval. Az Infotv. 3. § 10. pontja értelmében adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése. Az Infotv. 3. § 10a. pontja értelmében bűnüldözési célú adatkezelés a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy (bűnüldözési adatkezelést folytató szerv) ezen tevékenység keretei között és céljából – ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is – (bűnüldözési cél) végzett adatkezelése. Az Infotv. 3. § 11. pontja szerint adattovábbítás az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele. Az Infotv. 3. § 17. pontja szerint az adatfeldolgozás az adatkezelő megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által végzett adatkezelési műveletek összessége. Az Infotv. 3. § 18. pontja értelmében adatfeldolgozó az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között és feltételekkel – az adatkezelő megbízásából vagy rendelkezése alapján személyes adatokat kezel; Az Infotv. 4. § (1) bekezdése szerint személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok gyűjtésének és kezelésének tisztességesnek és törvényesnek kell lennie. Ugyanezen szakasz (2) bekezdése értelmében csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas. A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető.

Az Infotv. 5. § (1) alapján személyes adat akkor kezelhető, ha a) azt törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli, b) az a) pontban meghatározottak hiányában az az adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.

(2) Különleges adat a) az (1) bekezdés c)-d) pontjában meghatározottak szerint, vagy b) akkor kezelhető, ha az törvényben kihirdetett nemzetközi szerződés végrehajtásához feltétlenül szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűncselekmények megelőzése, felderítése vagy üldözése érdekében vagy honvédelmi érdekből törvény elrendeli.

Az Infotv. 5.§ (7) bekezdése szerint a bűnügyi személyes adatok kezelése esetén – ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik – a különleges adatok kezelésének feltételeire vonatkozó szabályokat kell alkalmazni. Az Infotv. 25/A. § (1) bekezdése rögzíti, hogy az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja. Az Infotv. 25/B. § (1) bekezdése szerint ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa a közös adatkezelők által végzett adatkezeléssel összefüggő kötelezettségek teljesítésével, így különösen az érintett jogainak érvényesítésével, valamint ezen kötelezettségek teljesítésének elmulasztásával kapcsolatos felelősségük megoszlását nem, vagy nem teljeskörűen határozza meg, azt – a rájuk irányadó jogi kötelezettségek által nem szabályozott mértékben – a közös adatkezelők a közöttük írásban létrejött és nyilvánosságra hozott megállapodásban határozzák meg. Az Infotv. 25/C. § (1) bekezdése alapján adatfeldolgozóként kizárólag olyan személy vagy szervezet járhat el, aki vagy amely megfelelő garanciákat nyújt az adatkezelés jogszerűségének és az érintettek jogai védelmének biztosítására alkalmas műszaki és szervezési intézkedések végrehajtására. Ezen garanciákat az adatkezelés megkezdését megelőzően az adatfeldolgozó igazolja az adatkezelő számára. Az Infotv. 25/D. § (1) bekezdése értelmében az adatkezelő és az adatfeldolgozó közötti jogviszony részletes tartalmát az e törvényben, valamint az Európai Unió kötelező jogi aktusában meghatározott keretek között jogszabály vagy az adatkezelő és az adatfeldolgozó között írásban létrehozott szerződés – ideértve az elektronikus úton létrehozott szerződést is – határozza meg. Az adatkezelő által az adatfeldolgozónak adott utasítások jogszerűségéért az adatkezelő felel.

(3) Az (1) bekezdésben meghatározott jogszabályban vagy szerződésben rendelkezni kell különösen az adatfeldolgozó azon kötelezettségéről, hogy a) tevékenysége során kizárólag az adatkezelő írásbeli utasítása alapján jár el, b) tevékenysége során biztosítja azt, hogy az érintett személyes adatokhoz való hozzáférésre feljogosított személyek – ha jogszabályon alapuló megfelelő titoktartási kötelezettség hatálya alatt egyébként nem állnak – az általuk megismert személyes adatok vonatkozásában titoktartási kötelezettséget vállaljanak, c) tevékenysége során minden megfelelő eszközzel segíti az adatkezelőt az érintettek jogai érvényesítésének elősegítése, ezzel kapcsolatos kötelezettségei teljesítése érdekében, d) az adatkezelő választása szerint az általa végzett adatkezelési műveletek befejezését követően - ha törvény másként nem rendelkezik - vagy haladéktalanul törli a tevékenysége során megismert személyes adatokat, vagy továbbítja azokat az adatkezelőnek és azt követően törli a meglévő másolatokat, e) az adatkezelő rendelkezésére bocsát minden olyan információt, amely az adatfeldolgozó igénybevételére vonatkozó jogi rendelkezéseknek való megfelelés igazolásához szükséges, és f) további adatfeldolgozót csak az e törvényben meghatározott feltételek teljesítése mellett vesz igénybe.

Az Infotv. 25/F. § (1) bekezdése alapján a személyes adatokkal elektronikus úton végzett adatkezelési műveletek jogszerűségének ellenőrizhetősége céljából az adatkezelő és az adatfeldolgozó automatizált adatkezelési rendszerben (a továbbiakban: elektronikus napló) rögzíti a) az adatkezelési művelettel érintett személyes adatok körének meghatározását, b) az adatkezelési művelet célját és indokát, c) az adatkezelési művelet elvégzésének pontos időpontját, d) az adatkezelési műveletet végrehajtó személy megjelölését, e) a személyes adatok továbbítása esetén az adattovábbítás címzettjét.

(2) Az elektronikus naplóban rögzített adatok kizárólag az adatkezelés jogszerűségének ellenőrzése, az adatbiztonsági követelmények érvényesítése, továbbá büntetőeljárás lefolytatása céljából ismerhetőek meg és használhatóak fel.

(3) Az elektronikus naplóhoz a Hatóság, továbbá a (2) bekezdésben meghatározott célból jogszabályban meghatározott tevékenységet folytató személy és szervezet részére - azok erre irányuló kérelmére - az adatkezelő és az adatfeldolgozó hozzáférést biztosít, abból részükre adatot továbbít.

(4) Az adatkezelői és az adatfeldolgozói nyilvántartásban, valamint az elektronikus naplóban rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni. Az Infotv. 25/I. § (3) bekezdés szerint az adatkezelő és tevékenységi körében az adatfeldolgozó az (1) bekezdésben meghatározott intézkedésekkel biztosítja a) az adatkezeléshez használt eszközök (a továbbiakban: adatkezelő rendszer) jogosulatlan személyek általi hozzáférésének megtagadását, b) az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását, c) az adatkezelő rendszerbe a személyes adatok jogosulatlan bevitelének, valamint az abban tárolt személyes adatok jogosulatlan megismerésének, módosításának vagy törlésének megakadályozását, d) az adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozását, e) azt, hogy az adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben meghatározott személyes adatokhoz férjenek hozzá, f) azt, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely címzettnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésére, g) azt, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat, mely időpontban, ki vitt be az adatkezelő rendszerbe, h) a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását, i) azt, hogy üzemzavar esetén az adatkezelő rendszer helyreállítható legyen, valamint j) azt, hogy az adatkezelő rendszer működőképes legyen, a működése során fellépő hibákról jelentés készüljön, továbbá a tárolt személyes adatokat a rendszer hibás működtetésével se lehessen megváltoztatni. A Kftv. 7. § (3) bekezdése szerint a felügyelet közterületen, közbiztonsági, illetve bűnmegelőzési célból, bárki számára nyilvánvalóan észlelhető módon képfelvevőt helyezhet el, és felvételt készíthet. A képfelvevő elhelyezéséről, valamint a képfelvevővel megfigyelt közterület kijelöléséről a felügyelet előterjesztésére a képviselő-testület dönt. (4) A képfelvevőt a felügyelet üzemelteti és kezeli. A felügyelet a képfelvevők elhelyezéséről és a képfelvevők által megfigyelt közterületről tájékoztatja a rendőrséget, valamint ezeket az adatokat a felügyeletet működtető önkormányzat polgármesteri hivatalának honlapján közzéteszi. (5) A képfelvevő által megfigyelt területre belépő személyek tájékoztatását elősegítő módon figyelemfelhívó jelzést, ismertetést kell elhelyezni a képfelvevők elhelyezéséről, az adatkezelés tényéről. A Rendőrségről szóló 1994. évi XXXIV. törvény (a továbbiakban: Rtv.) 42. § (2) bekezdése szerint a rendőrség közterületen, ahol az közbiztonsági, bűnmegelőzési, illetve bűnüldözési célból igazolhatóan szükséges, bárki számára nyilvánvalóan észlelhető módon képfelvevőt helyezhet el és felvételt készíthet. Az Infotv. 60.§ (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít és hivatalból adatvédelmi hatósági eljárást indíthat. Az Infotv. 60/A.§ (1) bekezdése alapján az adatvédelmi hatósági eljárásban az ügyintézési határidő százötven nap. Az Ákr. 7. és 8. § alapján az adatvédelmi hatósági eljárásra az Ákr. rendelkezéseit az Infotvben meghatározott eltérésekkel kell alkalmazni. Az Ákr. 103. § (1) bekezdése alapján a hivatalból indult hatósági eljárásban az Ákr-nek a kérelemre indult eljárásokra vonatkozó rendelkezéseit az Ákr. VII. fejezetében foglalt eltérésekkel kell alkalmazni. Az Ákr. 104. § (1) bekezdés a) pont szerint a hatóság az illetékességi területén hivatalból megindítja az eljárást, ha az eljárás megindítására okot adó körülmény jut a tudomására, ugyanezen § (3) bekezdése szerint a hivatalbóli eljárás az első eljárási cselekmény elvégzésének napján kezdődik, megindításáról az ismert ügyfelet a hatóság értesíti. Az Infotv. 61. § (1) bekezdés b) pontja szerint az adatvédelmi hatósági eljárásban hozott határozatában a Hatóság az Infotv. 2. § (3) bekezdésében meghatározott adatkezelési műveletekkel összefüggésben megállapíthatja a személyes adatok jogellenes kezelésének tényét, elrendelheti a valóságnak nem megfelelő személyes adat helyesbítését, elrendelheti a jogellenesen kezelt személyes adatok zárolását, törlését vagy megsemmisítését, megtilthatja a személyes adatok jogellenes kezelését, megtilthatja a személyes adatok külföldre történő továbbítását vagy átadását, elrendelheti az érintett tájékoztatását, ha azt az adatkezelő jogellenesen tagadta meg, valamint bírságot szabhat ki. Az Infotv. 61. § (4) bekezdése a) pontja szerint a bírság mértéke százezertől húszmillió forintig terjedhet. Az Infotv. 61.§ (5) bekezdése alapján a Hatóság annak eldöntésében, hogy indokolt-e az (1) bekezdés b) pont bg) alpontja szerinti bírság kiszabása, illetve a bírság mértékének megállapítása során az eset összes körülményeit figyelembe veszi, így különösen a jogsértéssel érintettek körének nagyságát, a jogsértés súlyát, a magatartás felróhatóságát, valamint azt, hogy a jogsértővel szemben korábban állapítottak-e meg a személyes adatok kezelésével kapcsolatos jogsértést. Az Infotv. 61. § (2) bekezdése szerint a Hatóság elrendelheti határozatának – az adatkezelő, illetve az adatfeldolgozó azonosító adatainak közzétételével történő – nyilvánosságra hozatalát, ha a határozat személyek széles körét érinti, azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta, vagy a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja. Az Infotv. 71. § (1) bekezdése értelmében a Hatóság eljárása során – az annak lefolytatásához szükséges mértékben és ideig – kezelheti mindazon személyes adatokat, valamint törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatokat, amelyek az eljárással összefüggnek, illetve amelyek kezelése az eljárás eredményes lefolytatása érdekében szükséges. A (2) bekezdés szerint a Hatóság az eljárásai során jogszerűen megszerzett iratot, adatot vagy egyéb bizonyítási eszközt más eljárásában felhasználhatja. A határozatra egyebekben az Ákr. 80.és 81. §-át kell alkalmazni.

## III. Döntés

A Hatóság eljárásának célja a Siófok város területén működő közterületi kamerarendszerrel történő adatkezelés vizsgálata volt, Siófok város polgármesterének arra a sajtóban megjelent nyilatkozatára tekintettel, hogy a kamerarendszert arcfelismerésre képes mesterséges intelligenciával rendelkező kamerákkal bővítették. Az arcfelismerő funkció esetleges alkalmazásának vizsgálatán túl az eljárás tárgyát képezte „önmagában” a közterületi kamerarendszerrel – arcfelismerésre képes funkció használata nélkül – megvalósuló adatkezelés vizsgálata is.

## III.1. A közterületi térfigyelő rendszer arcfelismerő funkciója általi adatkezelés megítélése

A közterület kamerás megfigyelésére vonatkozóan a közterület-felügyelet számára a Kftv. 7. § (3) bekezdése teszi lehetővé, hogy közterületen, közbiztonsági, illetve bűnmegelőzési célból, bárki számára nyilvánvalóan észlelhető módon képfelvevőt helyezzen el, és felvételt készítsen; melyről a felügyelet előterjesztésére a képviselő-testület dönt. Ugyanezen szakasz (4) bekezdése értelmében a képfelvevőt a felügyelet üzemelteti és kezeli; a felügyelet a képfelvevők elhelyezéséről és a képfelvevők által megfigyelt közterületről tájékoztatja a rendőrséget, valamint ezen információkat a közterület-felügyeletet működtető önkormányzat polgármesteri hivatalának honlapján is közzéteszi. A rendőrség számára az Rtv. 42. § (2) bekezdése biztosítja képfelvevő – bárki számára nyilvánvalóan észlelhető módon történő – elhelyezését és felvétel készítését, az olyan közterületen, ahol az közbiztonsági, bűnmegelőzési, illetve bűnüldözési célból igazolhatóan szükséges. Az Infotv. 3. § 3. pontjában meghatározott különleges adat fogalmába tartoznak a természetes személyek egyedi azonosítását célzó biometrikus adatok. Biometrikus adatnak minősül az Infotv. 3. § 3b) pontja alapján egy természetes személy fizikai, fiziológiai vagy viselkedési jellemzőire vonatkozó olyan, sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, mint például az arckép vagy a daktiloszkópiai adat. A térfigyelő rendszer a polgármester nyilatkozata szerint nincsen összekötve semmilyen adatbázissal, az adatok másik adatbázisba nem kerülnek továbbításra, kizárólag a rendszer tárolja azokat. Amennyiben az érintett mozgását követnék le, úgy a megjelölt arcképet a rendszer saját adatbázisában lévő arcképekkel hasonlítaná össze. A nyilatkozat szerint a rendszer nem áll kapcsolatban a NISZ Zrt. által szolgáltatott adattárolással sem. A személyes adatok kezelése szempontjából a Hatóság a kamerarendszer arcfelismerő funkció (a polgármester nyilatkozatában „arcdetektáló” funkcióként említett) – fent írt módon történő – alkalmazásával kapcsolatban általánosságban az alábbiakat állapítja meg: Az arcfelismerő funkció – fent hivatkozott módon történő – alkalmazásával egy arcképről tárolt bélyegkép alapján végzett adatbázisbázis művelet végrehajtásával, az arcképpel megjelölt személy további felvételeken is egyedileg könnyen azonosítható. Mivel a rendszer a nyilatkozatok szerint nincs összekapcsolva egyéb nyilvántartásokkal (pl: személyiadat- és lakcímnyilvántartás), ezért az érintett személyhez ekkor még nem köthetők természetes személyazonosító adatok. Ettől függetlenül az arckép és az annak alapján történt keresés, illetőleg találatok eredményeként a kiválasztott személy a felvételeken szereplő további személyektől elkülöníthetővé, tulajdonképpen egyedileg azonosíthatóvá, ezt követően pedig a rendszerben adott időben tárolt felvételeken könnyen követhetővé, megfigyelhetővé válik. A rendszer saját adatbázisban az arcfelismerésre képes mesterséges intelligencia révén történő keresés és a kiválasztott arckép mint személyes adat, további felvételekről történő kiválasztása értelemszerűen az adott személy egyedi azonosítását célzó biometrikus adatkezelést jelent. Mindez független attól, hogy természetes személyazonosító adatok vagy egyéb személyi azonosítók által az érintett személyazonosságának megállapítását önmagában ez a rendszer nem képes elvégezni. Az arcfelismerésre képes mesterséges intelligencia kamerarendszer keretében történő használata – a fentebb kifejtettek és a törvényi rendelkezések alapján – egyértelműen biometrikus adatok, így különleges adatok kezelését eredményezi. A Hatósági eljárást megelőző vizsgálati eljárás során Siófok város polgármestere a Hatóság megkeresésére küldött SFK/35304-2/2021 iktatószámú válaszában a kamerarendszer fent említett funkcióját arcdetektáló rendszerként említette, mely használatának jogalapjaként az Infotv. 5. § (2) bekezdés b) pontjára és a Ktftv. 1. §-a és a 7. § (3) bekezdésére hivatkozott. Az Infotv. 5. § (2) bekezdés b) pontja jogalapként történő meghatározása nyilvánvalóan helytelen; ugyanis e szerint különleges adat akkor kezelhető, ha az törvényben kihirdetett nemzetközi szerződés végrehajtásához feltétlenül szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűncselekmények megelőzése, felderítése vagy üldözése érdekében vagy honvédelmi érdekből törvény elrendeli. A Ktftv. 7. § (3) bekezdése, valamint az Rtv. 42. § (2) rendelkezése – amely a közterületen képfelvétel készítésére nyújt lehetőséget a közterület-felügyelet, illetőleg a rendőrség számára – személyes adatok kezelésére teremt jogalapot. A képfelvevő közterületen történő elhelyezésének lehetőségére és képfelvétel készítésére vonatkozó, ezen rendelkezések nem értelmezhetők akként, hogy egyben felhatalmazást nyújtanak a szigorúbb adatkezelési feltételek alá tartozó, szigorúbb garanciákat megkövetelő biometrikus adatok, mint különleges adatok kezelésére. A jogalkotó célja e törvényi rendelkezések megalkotásával nem az arcfelismerés alkalmazásával történő biometrikus adatok kezelésének lehetővé tételére irányult.

A Hatóság nem vizsgálta részletesen azt a kérdést, hogy amennyiben az Ügyfél 1 és 2 rendelkezésére álló szoftvert bekapcsolták és alkalmazták volna, akkor biometrikus adatok kezelésére milyen körülmények között került volna sor. Ennek a vizsgálata csak akkor vált volna lehetővé, ha bizonyítékokkal alátámaszthatóan és rekonstruálható körülmények között a helyszíni szemle időpontjában vagy azt megelőzően már sor került volna ilyen adatkezelésre. Mindenesetre azonban az, hogy az adatkezelők, az adatfeldolgozó, valamint a szóban forgó kamerarendszer gyártója által tett, egybehangzó nyilatkozatok alapján a kamerarendszer arcfelismerésre (arcdetektálásra) képes mesterséges intelligenciával van ellátva, azt jelenti, hogy a személyes adatok körén belül biometrikus, azaz különleges adatok kezelésére is képes kamerarendszer került kiépítésre. A Hatóság ugyanakkor jelen esetben különleges adatok kezelésének tényét nem állapította meg. Ügyfél 1 nyilatkozataiban többször kiemelte, hogy a rendelkezésre álló szoftver nem arcfelismerést, hanem arcdetektálást végez. A Hatóság nem kíván szemantikai vitába bocsátkozni az arcfelismerés/arcdetektálás terminus technicus tekintetében, mivel álláspontja szerint nincsen érdemben eltérés a két meghatározás között. Az adatkezeléshez rendelkezésre álló és mesterséges intelligenciával ellátott kamerarendszer a működése során – bár adatbázissal nincsen összekötve – de a felvételekből és bélyegképekből önmaga képez adatbázist és annak felelteti meg a keresési eredményt. Megjegyzendő egyébiránt, hogy maga a program is arcfelismerő funkcióként azonosítja mindezt (NAIH/2021/6212/6/2021. számú jegyzőkönyv 4. melléklet). A Hatóság jelen eljárása során – az ügyfelek nyilatkozata és a helyszíni szemlén a kamerarendszerből a szemle időpontjában kinyert csekély mennyiségű adat alapján – arra a megállapításra jutott, hogy az arcfelismerésre képes mesterséges intelligencia alkalmazására eddig nem került sor ügyfelek részéről. A Hatóság felhívja ugyanakkor Ügyfél 1, Ügyfél 2 és Ügyfél 3 figyelmét, hogy jelenleg a hatályos jogszabályok nem teszik lehetővé biometrikus adatokat kezelő közterületi térfigyelő rendszer működtetését Magyarországon. A Hatóság utalni kíván az Infotv. alapelveire is, melyek érvényesülését eljárásai során ellenőrzi. Az Infotv. 4. § (2) bekezdésére mutatva a Hatóság kiemeli, hogy a szükségességarányosság követelményének érvényesülését ügyenként, az eset valamennyi körülményének részletes vizsgálata alapján ítéli meg és juttatja érvényre a jövőben is. Ettől függetlenül kiemelendő továbbá az is, hogy önmagában az, ha törvény biztosítja az adatkezelés jogalapját, még az sem jelenti, hogy az adatkezelés jogszerűnek minősül, ha nincsen tekintettel a szükségesség és arányosság követelményeire. A személyes adatok körén belül a biometrikus adatok, mint különleges adatok kezelésénél a szükségesség és arányosság felmérése különösen nagy gondosságot igényel, mivel a biometrikus adatok kezelése önmagában is az érintettek személyes adatokkal való önrendelkezési jogának súlyos mértékű korlátozásával jár. Ezzel a súlyos mértékű korlátozással kell arányosnak lennie, és ehhez mérten kell szükségesnek lennie az adatkezeléssel elérhető célnak. Megjegyzendő, hogy Ügyfél 1 a 2021. december 21. napján érkezett válaszához mellékelte a Fővárosi Főügyészség sajtóközleményét, amely olyan terrorcselekmény elkövetésének előkészületével kapcsolatos vádemelésről számol be, melynek egyik elkövetési helyszíne a siófoki sétány lett volna. Ügyfél 1 ezzel is alátámasztani kívánta azt, hogy a sétány bűnüldözési és bűnmegelőzési szempontból kiemelkedő jellegű.

A Hatóság mindezt nem vitatja, ugyanakkor – a szükségesség-arányosság szempontjából rámutat, hogy ebben az ügyben is a bűnüldöző hatóságok előkészületi szakban megakadályozták a bűncselekményt anélkül, hogy a sétányon elhelyezett és mesterséges intelligenciával ellátott arcfelismerő kamerarendszert igénybe vették volna. Megjelent továbbá egy közlemény Siófok város honlapján is 2021. június 10. napján, mely szerint a rendőrség a sétány kamerarendszerének segítségével tudta beazonosítani a Mártírok úti vasúti sorompó letörőjét. Jelen eljárás tisztázta ezen ügy részleteit, mely szerint az elkövetőt az arcfelismerő funkció alkalmazása nélkül, a rögzített képfelvétel rendőrség általi kikérésével, a rendőrség honlapján történt közzététel révén lakossági bejelentés eredményeként azonosították.

## III.2. A térfigyelő rendszerrel megvalósuló adatkezelés során feltárt, jogsértő hiányosságok

## III.2.1. Az adatkezelésben résztvevők szerepének meghatározása

Az adatkezelő törvényi fogalma alapján az adatkezelői minőség ismérve, hogy adatkezelő az, aki önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja. Az adatkezelésre vonatkozó döntések körébe tartozik például annak elhatározása, hogy egy szervezet adatkezelést fog végezni. Ugyanígy az arra vonatkozó döntések is, hogy a térfigyelő kamerákkal mely területeket figyeljék meg, milyen kamerarendszert használjanak, milyen időtartamban kezelik az adatokat, kik jogosultak az adatokhoz hozzáférésre, milyen adatbiztonsági intézkedéseket alkalmaznak, igénybe vesznek-e és pontosan milyen tevékenységi körben adatfeldolgozót. Adatkezelésre vonatkozó döntés továbbá maga az adatkezelési műveletek végrehajtása és az érintetti joggyakorlással kapcsolatos adatkezelői kötelezettségek teljesítése is. Ügyfél1 jegyzőkönyvbe foglalt nyilatkozata(i), valamint a Hatóság rendelkezésére bocsátott dokumentumokban, így az adatkezelési tájékoztatóban; továbbá a Siófok város közigazgatási területén elhelyezett közterületi képfelvevők elhelyezésének kijelöléséről szóló előterjesztésben; a Siófok város közigazgatási területén elhelyezett képfelvevők számának változásáról, a 145/2013. önkormányzati határozat módosításával szóló előterjesztésben; továbbá a Siófok város közigazgatási területén elhelyezett közterületi képfelvevők elhelyezésének kijelöléséről szóló előterjesztésben foglaltak; valamint az adatkezelő rendszer, a Hatóság eljáró tagjai által a helyszínen is megtekintett eszközei és körülményei azt tanúsítják, hogy Ügyfél 1 egyértelműen adatkezelője az eljárás tárgyát képező közterületi térfigyelő rendszernek. Az Kftv. rendelkezéseinek megfelelően a Városőrség (közterület-felügyelet) javaslatára az önkormányzat döntött ugyanis a térfigyelő rendszer, vagyis az adatkezelés megkezdéséről, annak eszközeiről illetőleg a meglévő rendszer egyes elemeinek kicseréléséről, fejlesztéséről, további kamerákkal, egyéb eszközökkel történő bővítéséről. Végrehajtotta, illetőleg az adatfeldolgozóval végrehajtatta – az adatkezelésre, a térfigyelő rendszer beüzemelésére vonatkozó döntéseket. A közterület-felügyelet feladatait ellátó, adatkezelőként törvényben kijelölt Városőrség (Ügyfél 1 szervezeti egységeként) tényleges adatkezelési műveleteket végez, mint például a felvételek esetenként történő megtekintése, visszanézése, mentése, átadása az arra jogosult szerveknek.

Bár a vonatkozó adatkezelési tájékoztató, továbbá a jogszabályi rendelkezések és a tényleges napi gyakorlat alapján egyértelműen Ügyfél 1 (a Városőrség mint szervezeti egység) az adatkezelő (közös adatkezelő), mégis a 2020. szeptember 24. napján kelt Szerződést Siófok Város Önkormányzata, mint adatkezelő kötötte meg. Az ügyfelek által tett nyilatkozatok és a helyszíni vizsgálaton észlelt és jegyzőkönyvben rögzített körülmények, valamint a Hatóság által bekért, illetve jegyzőkönyvhöz csatolt dokumentumok (úgymint a „Kimutatás kameraszoba használatáról” nevű dokumentum)

## alapján megállapítást nyert továbbá az is, hogy Ügyfél 2 is adatkezelőnek minősül

ugyanezen térfigyelő kamerarendszerrel történő adatkezelés vonatkozásában a következők alapján. Ügyfél 2 egyfelől részt vett a kamerarendszer bővítésére irányuló döntés meghozatalában oly módon, hogy közreműködött a rendszer bővítése során beszerzendő eszközök kiválasztásában, vagyis az adatkezelés eszközeire vonatkozó döntésben. Másfelől Ügyfél 2 konkrét adatkezelési műveleteket végez a képfelvételek saját székhelyén működtetett kamerahelyiségben történő megfigyelése révén. Ügyfél 1 nyilatkozata szerint az Ügyfél 2 általi megfigyelés a közterület-felügyelők részvétele mellett zajlik, azonban a Hatóság által a helyszínen észleltek és az Ügyfél 2 székhelyén lévő kameraszobába történő belépések dokumentációja alapján a napi gyakorlatban a rendőrségen lévő munkaállomások valamelyikén a megfigyelést a legtöbb esetben önállóan Ügyfél 2 állományába tartozó rendőr végzi. Ügyfél 2 nyilatkozata értelmében a megfigyelés nem folyamatos, azt a városban zajló adott események, biztosítandó rendezvények, egyéb okok határozzák meg, a képfelvételek visszanézésének szükségességét értelemszerűen különböző bűnüldözési célok indokolhatják. Esetenként a felvételek rövid időintervallumban történő visszanézésére vonatkozó adatkezelési műveletet is végrehajt annak szükségessége esetén. Mindezek alapján elmondható tehát, hogy Ügyfél 2 dönt arról, hogy mikor végez a kamerateremben megfigyelést. A képfelvételeken közvetlenül észleltek alapján, tehet és tesz adott esetben rendőri intézkedést. Ez adatkezelési szempontból azt jelenti, hogy módja van akár anélkül tulajdonképpen felhasználni a felvételeken észlelt információkat, adatokat, hogy a felvételt külön igényelnie kellene Ügyfél 1-től. Az eljárás során tett nyilatkozatok és becsatolt dokumentumok szerint, amennyiben a felvételekre Ügyfél 2-nek nem közvetlen beavatkozás érdekében, hanem valamely eljárásához bizonyítékként történő további felhasználás érdekében van szüksége, azt lefoglalás útján kéri ki Ügyfél 1-től. Kiemelendő, hogy mindezen adatkezelési tevékenységre az Rtv. közterületi képfelvételek készítésére vonatkozó rendelkezése jogalapot nyújt Ügyfél 2 számára. Ügyfél 2 közös adatkezelői szerepét támasztja alá továbbá az a tény is, hogy e közös adatkezelési tevékenység során az Ügyfél 2 székhelyén létesített kamerateremben elhelyezett adatkezelő rendszer elemeinek, eszközeinek és az épület egy másik helyiségében lévő szervernek a fizikai biztonságát célzó intézkedések megtétele, valamint az azokhoz való hozzáférés biztosítása - különös tekintettel Ügyfél 2 közfeladatára, közhatalmi szerepére és az ehhez kapcsolódó, rá vonatkozó biztonsági előírásokra, szabályzatokra kizárólag Ügyfél 2-nek áll módjában. Ügyfél 2 az épületében kialakított operátori helyiségbe történő belépést engedélyezi, illetve felügyeli, továbbá fizikai biztonsággal védi. Az ott történteket adminisztratív eszközökkel dokumentálja. A kamerarendszer Ügyfél 2 számára „Police” szerepkörrel, illetve felhasználó névvel hozzáférhető. A Hatóság eljárása során megállapított tényállás szerint Ügyfél 2 adatkezelése jelenleg a fentiekben bemutatott adatkezelési műveletekre (élőkép megfigyelése; felvételek rövid időintervallumban történő visszanézése; a felvételek közvetlen észlelése alapján történő esetleges intézkedések, mint az adatok felhasználása) és az adatkezeléshez kapcsolódó adatbiztonsági intézkedésekre korlátozódik. A Hatóság megállapította, hogy Ügyfél 2 a saját épületében kialakított operátori helyiségben végzett adatkezelés célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó bizonyos döntéseket meghozza és végrehajtja (mikor, mire tekintettel végzi az élőképek megfigyelését, mit néz vissza esetlegesen). Ügyfél 2 szakmai tanácsokkal, javaslatokkal közreműködött az adatkezelés eszközeinek meghatározásában, az adatkezelés körülményeire vonatkozó bizonyos döntések meghozatalában. Mindezek alapján tehát Ügyfél 1 és Ügyfél 2 közös adatkezelőnek minősülnek. A Hatóságnak megküldött Ügyfél 1 és Ügyfél 2 között kötött Együttműködési Megállapodás semmilyen konkrétumot, illetve érdemi szabályt nem tartalmaz a kamerarendszerrel kapcsolatos adatkezelés vonatkozásában. Ügyfél 2 is ellentmondásosan nyilatkozott szerepéről, hiszen közös adatkezelésnek – egyébiránt helyesen – tekinti a kamerarendszer használata során végzett tevékenységet, ugyanakkor Ügyfél 1-et egyedüli adatkezelőnek tekinti azon eljárásai során, melyek keretében kamerafelvételt foglal le. Mivel jelent estben törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa nem határozza meg a közös adatkezeléssel összefüggő kötelezettségek teljesítésével kapcsolatos felelősségük megoszlását, így az Infotv. 25/B. § (1) bekezdése értelmében Ügyfél 1-nek és Ügyfél 2-nek mint közös adatkezelőknek írásban létrejött és nyilvánosságra hozott megállapodást szükséges kötni.

## A Hatóság e helyen rámutat arra a jogsértő hiányosságra, hogy a fentiek ellenére az

## Infotv. 25/B. § (1) bekezdés szerinti megállapodás, amely rendezi az adatkezelői

kötelezettségek teljesítésével kapcsolatos feladatokat és felelősséget – így az üzemeltetés, az adatbiztonság, érintetti jogok teljesítésének, nyilvántartások vezetésének, és az incidensek kezelésének kérdéseit – nem jött létre Ügyfél 1 és Ügyfél 2 között.

## III.2.2 Az elektronikus napló vezetésére és az adatbiztonsági intézkedésekre vonatozó rendelkezések sérelme

A Hatóság megállapította, hogy szemben az Ügyfél 2 és Ügyfél 1 székhelyén kialakított operátori szoba, illetőleg szerver termek fizikai védelmére biztosított körülményekkel, a Városőrség kameraterme, illetőleg az adatkezelő rendszer ott található elemei (munkaállomás és szerver) nélkülözi a fizikai biztonság feltételeit, hiszen közvetlenül egy közterületről nyíló ajtó jelenti pusztán a helyiség fizikai biztonságát.

## A Hatóság megállapította, hogy sérti az Infotv. 25/F. § (1) bekezdés d) pontját és egyben

az elszámoltathatóság és adatbiztonság követelményét az is, hogy a közterületfelügyelők (a helyszíni szemle időpontját megelőző időszakban pedig Ügyfél 2 általi tevékenységet végző személyek is) azonos loginnal lépnek be a rendszerbe; egyedileg nem rögzül, hogy ki lépett be és végzett adatkezelési műveleteket a rendszerben. Az adatkezelési tevékenységet végző személyek köre kizárólag a szolgálati beosztás alapján szűkíthető le a belépők körére. A Hatóság rámutat arra, hogy az Infotv. 25/I. § (3) bekezdés c) és e) pontjában foglalt adatbiztonsági intézkedések érvényesülése, valamint az Infotv. 25/F. §-ában foglalt elektronikus naplóra vonatkozó rendelkezéseknek való megfelelés érdekében, amennyiben a különböző adatkezelők vagy az egyes adatkezelők alkalmazásában álló különböző felhasználók az adatkezeléssel kapcsolatos feladatellátásuk függvényében eltérő adatkezelési tevékenységet jogosultak ellátni, akkor az eltérő jogosultságuknak megfelelő hozzáférési jogosultság beállítása szükséges. Az egyes felhasználók számára beállított különböző adatkezelési műveletekre vonatkozó jogosultságokról pedig naprakész nyilvántartást kell vezetni. Ilyen nyilvántartást sem Ügyfél 1 sem Ügyfél 2 nem tudott a Hatóság rendelkezésére bocsátani. A Hatóság megállapította, hogy az Infotv. 25/F. § (4) bekezdésében foglalt kötelezettség, miszerint az adatkezelői és az adatfeldolgozói nyilvántartásban, valamint az elektronikus naplóban rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni, nem teljesülhet, hiszen a felhasználók tevékenysége – Ügyfél 1 és Ügyfél 3 nyilatkozata szerint – 30 napig tekinthető meg. E törvénysértő gyakorlat – a Bűnügyi irányelv 4. cikk (4) bekezdésben rögzített elszámoltathatóság elvének sérelmével – az adatkezelés Hatóság általi ellenőrzésének ellehetetlenülését eredményezte a tekintetben, hogy ügyfelek tevékenysége nem dokumentált, így sem az, sem pedig a nyilatkozataiban foglaltak nem ellenőrizhetőek a jogszabálynak megfelelően. A Hatóság felhívja a figyelmet, hogy e vonatkozásban az Infotv. 75. § (6) bekezdése szerinti mentesülési szabály nem alkalmazható, figyelemmel arra, hogy a jelen eljárásban vizsgált automatizált adatkezelési rendszert nem 2016. május 06-át megelőzően hozták létre. A közterületi kamerarendszer korszerűsítésére, továbbfejlesztésére, egységes videomenedzsment rendszer kialakítására 2020.06.16. napján kötött vállalkozói szerződés alapján került sor. Ügyfél 1 és Ügyfél 3 nyilatkozata szerint e rendszerben végzett felhasználói tevékenység naplózása gyári beállítás szerint 30 nap, mely azonban átállítható nagyobb intervallumra is. A Hatóság megállapította, hogy Ügyfél 3 munkavállalója megsértette az Infotv. 25/D. § (3) bekezdés a) pontját – mely szerint az adatfeldolgozó tevékenysége során kizárólag az adatkezelő írásbeli utasítása alapján jár el – azzal, hogy adatkezelők tudta és utasítása nélkül szerepkörök módosítását, törlését és létrehozását végezte el a Hatóság Ügyfél 1 székhelyén végzett helyszíni szemléjének befejezése és Ügyfél 2 székhelyén végzett helyszíni szemléjének megkezdése közötti időszakban.

## III.2.3. Szankciók

Az Infotv. 61. § (1) bekezdés bg) alpontja és (4) bekezdése alapján egyéb intézkedések mellett százezertől húszmillió forintig terjedő bírságot szabhat ki. Ügyfél 1 és Ügyfél 2 vonatkozásában a fentiekre tekintettel a Hatóság az Infotv. 61. § (1) bekezdés b) pont ba) alpontja szerint megállapítja a térfigyelő rendszer keretében végzett adatkezelés módjának jogellenességét tekintettel a közös adatkezelők között az adatkezeléssel kapcsolatos felelősségük megoszlását szabályozó megállapodás hiányára, valamint az adatbiztonság és az elszámoltathatóság követelményeinek megsértése miatt. A Hatóság megvizsgálta a bírság kiszabásának szükségességét. Ügyfél 3 fenti jogsértő tevékenységével kapcsolatban a Hatóság nem tartja arányosnak és elégségesnek pusztán a jogellenesség tényének megállapítását, tekintettel a cselekmény és Ügyfél 3 személye vonatkozásában fennálló enyhítő és súlyosító körülményeire is. A Hatóság az eset összes körülményére figyelemmel, a személyes adatok jövőbeni védelme érdekében úgy döntött, hogy Ügyfél 3 vonatkozásában bírság kiszabása szükséges. A bírság mértékét jogszabályban biztosított mérlegelési jogkörében állapította meg. Az Infotv. 61. § (4) bekezdése szerint a kiszabható bírság mértéke százezertől húszmillió forintig terjedhet. Az adatvédelmi bírság mértékének meghatározásakor a Hatóság enyhítő körülményként vette figyelembe, hogy a szerepkörök módosítását, törlését és újabbak létrehozását Ügyfél 3 munkavállalója utasítás nélkül, önhatalmúlag végezte el, - Ügyfél 3-al szemben a Hatóság korábban még nem állapított meg személyes adat kezelésével kapcsolatos jogsértést; a jogsértés jellege, súlyossága kisebb jelentőségű. Az adatvédelmi bírság meghatározásakor a Hatóság súlyosító körülményként vette figyelembe, hogy a cselekményre a Hatóság helyszíni szemléjét közvetlenül megelőzően került sor, olyan időpontban, amikor Ügyfél 3 már tisztában volt a Hatóság eljárásának céljával, az adatkezelés körülményeiről már részben nyilatkozatot tett, és tudta, hogy mi lesz a szemle következő helyszíne, ahol a Hatóság az adatkezelés körülményeit fogja vizsgálni; - Ügyfél 3 megsértette törvényi kötelezettségét, mely szerint tevékenysége során kizárólag az adatkezelő írásbeli utasítása alapján jár el. A fentiek alapján a Hatóság a rendelkező rész szerint a maximálisan kiszabható összeg egynegyvenedének megfelelő összegű adatvédelmi bírság kiszabását tartotta az eset összes körülménye alapján arányosnak és visszatartó erejűnek Ügyfél 3 vonatkozásában. A Hatóság az Infotv. 61. § (2) bekezdés a) és b) pontjai alapján a határozatnak Ügyfél azonosító adataival történő nyilvánosságra hozatalát is elrendelte, mivel a jogsértés személyek széles körét érinti és azt közfeladatot ellátó szerv tevékenységével összefüggésben hozta.

## IV. Egyéb kérdések

Az Infotv. 38. § (2) bekezdése szerint a Hatóság feladata a személyes adatok védelméhez, valamint a közérdekű és a közérdekből nyilvános adatok megismeréséhez való jog érvényesülésének ellenőrzése és elősegítése, továbbá a személyes adatok Európai Unión belüli szabad áramlásának elősegítése. A Hatóság illetékessége az ország egész területére kiterjed. Az Ákr. 112.§-a, és 116.§ (1) bekezdése, valamint a 114.§ (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye jogorvoslatnak.

* * * A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a továbbiakban: Kp.) határozza meg. A Kp.12.§ (1) bekezdés alapján a Hatóság döntésével szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp.13.§ (3) bekezdés a) pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perendtartásról szóló 2016. évi CXXX. törvénynek (a továbbiakban: Pp.) – a Kp.26.§ (1) bekezdése alapján alkalmazandó – Kp.27.§ (1) bekezdés b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp.39.§ (6) bekezdése szerint– ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására halasztó hatálya nincs. A Kp. 29.§ (1) bekezdése és erre tekintettel a Pp.604.§ szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a továbbiakban: E-ügyintézési törvény) 9.§ (1) bekezdés b) pontja szerint az Ügyfél jogi képviselője elektronikus kapcsolattartásra kötelezett.

A keresetlevél benyújtásának helyét is idejét a Kp.39.§ (1) bekezdése határozza meg. A tárgyalás tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp.77.§ (1) és (2) bekezdésén alapul. A közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (a továbbiakban: Itv.) 45/A.§ (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59.§ (1) bekezdése és az Itv. 62.§ (1) bekezdés h) pontja alapján mentesíti az eljárást kezdeményező felet. Ha előírt kötelezettsége teljesítését az Ügyfél megfelelő módon nem igazolja, a Hatóság úgy tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132.§-a szerint, ha az ügyfél a Hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság határozata az Ákr. 82.§ (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a értelmében a végrehajtást – ha törvény, vagy kormányrendelet másként nem rendelkezik – a döntést hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az állami adóhatóság foganatosítja. Budapest, 2022. február 14.

## Dr. Péterfalvi Attila

elnök c. egyetemi tanár