Çalışanın Arşivlenmiş E-postalarında Belge Araması

Ügyszám: NAIH/2019/51/11. Tárgy: Kérelemnek helyt adó határozat
(NAIH/2018/4986/H.)

A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) előtt […] a
továbbiakban: Kérelmező a […] továbbiakban: Kötelezett által, személyes adatai jogellenes
kezelése tényének megállapítására, személyes adatai törlésének elrendelésére, illetve személyes
adatai jogellenes kezelésének megtiltására irányuló kérelmére indult adatvédelmi hatósági
eljárásban az alábbi döntéseket hozza:

I. A Hatóság

HATÁROZATÁBAN

1) a Kérelmező

kérelmének helyt ad

és megállapítja, hogy a Kötelezett a korlátozott tárolhatóság elvét sértve tárolja a Kérelmező
magánlevelezéseit, továbbá a tisztességes adatkezelés elvébe ütközően, megfelelő tájékoztatás
nélkül, a célhoz kötött adatkezelés elvébe ütközően, megfelelő jogalap hiányában végzett
dokumentumkeresést archivált e-mail-fiókjaiban.

2) A Hatóság megtiltja a Kötelezett számára, hogy tárolja a Kérelmező magánlevelezéseinek
archívumát és utasítja a Kötelezettet arra, hogy a jelen határozat véglegessé válásától számított 15
napon belül a Kérelmező bevonásával és tájékoztatásával vizsgálja felül, hogy a Kérelmező archivált
e-mail-fiókjai sérelmezett, Kötelezett általi tárolása és az azokban történő dokumentumkeresés
során mely – a munkavégzéssel össze nem függő (magáncélú) – személyes adatait, levelezéseit
ismerte meg, illetve tárolta, és azokat törölje azzal, hogy a jelen határozat megtámadására nyitva
álló keresetindítási határidő lejártáig, illetve közigazgatási per indítása esetén a bíróság jogerős
határozatáig a vitatott adatkezeléssel érintett adatok kezelését korlátozni kell oly módon, hogy azok
nem törölhetők, illetve nem semmisíthetők meg, ugyanakkor a tároláson és a közigazgatási perben
a bíróság általi felhasználáson kívül más módon nem használhatók fel. Ennek során a Kötelezett
köteles lehetővé tenni, hogy a kizárólag magáncélú adatokról a Kérelmező saját céljára másolatot
készítsen, továbbá köteles a nem törölt adatok vonatkozásában az adatkezelésről a Kérelmezőt
megfelelően tájékoztatni.

3) A Hatóság hivatalból megállapítja, hogy a Kötelezett a Kérelmező archivált e-mail-fiókjaiban
történő dokumentumkereséssel összefüggő adatkezelése során az elszámoltathatóság alapelvi
követelményét megsértve nem tett megfelelő technikai, szervezési intézkedéseket, annak
érdekében, hogy az általa, a munkavállalók számára biztosított e-mail-fiókok használatával,
archiválásával összefüggésben biztosítsa a személyes adatok védelmét, és nem gondoskodott az
érintettek megfelelő tájékoztatásáról, megsértve ezzel együtt az átláthatóság elvét is.

4) A Hatóság hivatalból utasítja a Kötelezettet arra, hogy a jelen határozat véglegessé válásától
számított 30 napon belül megfelelő, a tisztességes adatkezelés alapelvi követelményével
összhangban álló technikai, szervezési intézkedések megtételével gondoskodjon a munkavállalók
számára biztosított e-mail-fiókok használata, archiválása, illetve az archivált tartalmakban történő
dokumentumkeresések során a személyes adatok védelméről, alkossa meg az ezekhez szükséges
belső szabályokat és gondoskodjon az érintettek megfelelő tájékoztatásáról. Ennek keretében
biztosítsa, hogy az e-mail-fiókok tárolására, archiválására, az archivált adatokban történő keresésre
vonatkozó belső szabályozás, és az ezekre vonatkozó megfelelő tájékoztató megalkotásával tárolja,
archiválja a munkavállalók e-mail-fiókjait és végezzen azokban dokumentumkeresést.

2

5) A Hatóság a Kötelezettet hivatalból

500 000 Ft, azaz ötszázezer forint
adatvédelmi bírság

megfizetésére kötelezi.

***

Az adatvédelmi bírságot a határozat véglegessé válását követő 15 napon belül a Hatóság
központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000
Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell
megfizetni. Az összeg átutalásakor a NAIH/2019/51. BÍRS. számra kell hivatkozni.

Ha a Kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti
számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat,
amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik
meg.

A Kötelezettnek jelen határozat fenti I. 2) és I. 4) pontjaiban előírt kötelezettségek teljesítését jelen
határozat közlésétől számított 30 napon belül kell írásban – az azokat alátámasztó bizonyítékok
előterjesztésével együtt – igazolnia a Hatóság felé.

A bírság és a késedelmi pótlék, illetve az előírt kötelezettségek nem teljesítése esetén a Hatóság
megindítja a határozat végrehajtását.

Jelen határozattal szemben közigazgatási úton jogorvoslatnak nincs helye, de az a közléstől
számított 30 napon belül a Fővárosi Törvényszékhez címzett keresettel közigazgatási perben
megtámadható. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan, amely azt az ügy
irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a keresetben jelezni kell.
A teljes személyes illetékmentességben nem részesülők számára a bírósági felülvizsgálati eljárás
illetéke 30 000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi Törvényszék előtti eljárásban
a jogi képviselet kötelező.

II. A Hatóság végzéssel elrendeli 10 000 Ft-nak, azaz tízezer forintnak a Kérelmező részére való
megfizetését az ügyintézési határidő túllépése miatt – választása szerint – bankszámlára utalással
vagy postai utalvánnyal.

***

A jelen II. pont szerinti végzéssel szemben nincs helye önálló jogorvoslatnak, az csak az ügy
érdemében hozott határozat elleni jogorvoslati kérelemben támadható meg.

INDOKOLÁS

I. Az eljárás menete, a tényállás tisztázása

I. 1. A Kérelmező 2018. július 27. napján kérelmet nyújtott be a Hatósághoz, amelyben előadta, hogy
a […] igazgatójaként […] napjáig állt az intézmény élén. A munkáltatói jogokat az Állami
Egészségügyi Ellátó Központ főigazgatója gyakorolta felette. E jogviszonya megszűnését követően,
2018. július 2. napján a kórház egyik jelenlegi munkavállalóján keresztül tudomására jutott, hogy –
engedélye nélkül – a 2017. április 1. napja előtt keletkezett kórházi elektronikus levelezése

3

tudomása szerint törölt, valójában inaktivált fiókjai […] visszaállítását rendelte el a […] jogutódja, a
[…] jelenlegi vezetése. 2018. július 3. napján a jelenlegi orvos-igazgatóval történt telefonos
beszélgetés során az orvos-igazgató elismerte a Kérelmezőnek, hogy utasítást adott az e-mail-
fiókok helyreállítására. Ezen levelezések visszaállítása során a Kérelmező egykori e-mail-fiókjait
aktiválták, mert kerestek egy dokumentumot. A Kérelmező kifogásolta, hogy ennek során a
fiókokban bármelyik dokumentumához hozzáférhettek, bármely személyes adatát megismerhették,
tekintettel arra, hogy magánlevelezéseit is azokon bonyolította le, ez engedélyezett is volt számára.
Így a fiókok tartalmaztak például magáncélú levelezéseket, banki adatokat, fizetésre vonatkozó
adatokat, baráti kapcsolatokra vonatkozó adatokat, a Kérelmező pénzügyei intézésére vonatkozó
levelezéseket, a bankszámlaszámát, pin-kódjait, egészségi állapotára vonatkozó adatokat, valamint
a tőle egészségügyi segítséget kérő személyekre vonatkozó információkat.

Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a
továbbiakban: Infotv.) 60. § (1) bekezdése alapján az érintett erre irányuló kérelmére adatvédelmi
hatósági eljárás indult.

Mivel a kérelem nem tartalmazta a feltételezett jogsértéssel kapcsolatos állításokat alátámasztó
tényeket és azok bizonyítékait, valamint a megjelölt jogsértés orvoslása iránti döntésre vonatkozó
határozott kérelmet, a Hatóság végzésében hiánypótlásra hívta fel a Kérelmezőt, aki ennek eleget
tett, és kérte a személyes adatai jogellenes kezelése tényének megállapítását, a személyes adatai
zárolásának, törlésének vagy megsemmisítésének elrendelését, illetve a személyes adatai
jogellenes kezelésének megtiltását.

A Hatóság a tényállás tisztázása érdekében továbbá nyilatkozattételre is felszólította a Kérelmezőt,
aki válaszlevelében azt nyilatkozta, hogy a […] korábbi igazgatójaként az e-mailek megőrzése
érdekében a MailStore e-mail archiváló rendszer bevezetését rendelte el, mivel többször előfordult,
hogy elkeveredtek az elektronikus levelek. Ebbe a rendszerbe az igazgatóság levelezéseit
archiválták – köztük a Kérelmező által használt […] és […] fiók levelezéseit –, melynek két kezelője
volt, akik oktatást kaptak annak használatáról. Külön szabályozás a rendszer működéséről nem
készült a szűk érintetti kör miatt, ezért annak jellemzőiről csupán szóbeli tájékoztatás hangzott el. A
Kérelmezőnek – nyilatkozata szerint – megállapodás alapján lehetősége volt jogviszonyának
megszűnésétől számított további egy hónapig használni a […] e-mail-fiókját, ezt követően törölték a
fiókot. A […] e-mail-fiókját jogviszonyának megszűnése napján, 2017. március 31. napján
inaktiválták. A Kérelmező nyilatkozata szerint annyi információval rendelkezett, hogy e-mail-fiókjai
törlésre kerülnek, arról azonban nem kapott tájékoztatást, hogy jogviszonyának megszűnését
követően mi történik a fiókok tartalmával, és arról – bár ő rendelte el az archiváló rendszer
bevezetését – sem volt információja, hogy a törlés nem azt jelenti, hogy véglegesen,
helyreállíthatatlanul történik meg az e-mail-fiókok törlése, hanem azokat inaktiválják.

I. 2. A Hatóság az adatvédelmi hatósági eljárás megindításáról értesítette a Kötelezettet, és a
tényállás tisztázása érdekében öt alkalommal hívta fel nyilatkozattételre, illetve adatközlésre.

A Kötelezett nyilatkozata szerint a Kérelmező által megjelölt e-mail címek intézményi e-mail címek,
illetve fiókok, melyen az a tény, hogy a munkáltató engedélyezte a magáncélú használatukat is, nem
változtat, ezért teljességgel kizárt a személyes adatok védelméhez való jog megsértése. A
Kötelezett nyilatkozata szerint lehetőséget biztosítottak arra, hogy a Kérelmező a jogviszonyának
megszűnésekor törölhesse magáncélú levelezéseit, személyes adatait, illetve legalább egy
hónappal korábban tudta jogviszonya megszűnésének időpontját, így volt alkalma arra, hogy
postafiókjait karbantartsa. Továbbá kérésére postafiókjait a jogviszonya megszűnését követően is
használhatta. A Kötelezett ennek határidejéről nem nyilatkozott, ugyanakkor a Kérelmező szerint
erre a jogviszony megszűnését követően egy hónapig volt lehetősége.

4

A Kötelezett nyilatkozata szerint a Kérelmező által megjelölt e-mail címek közül a […] jelenleg is
használatos, csupán elnevezése változott meg, aktualizálva és utalva a jogutód intézmény
elnevezésére […], tekintettel arra, hogy 2017. március 31. napjával jogutódlás történt, melynek
következményeként a jogelőd […] megszűnt, és jogutódja a […] lett.

A Kötelezett további nyilatkozata szerint postafiók-visszaállítás nem történt, hanem az archívumban
egy szerződéses partner által elkészített jogi anyagot kerestek, amelynek során dokumentum
lementésére nem került sor. A keresésről jegyzőkönyv, feljegyzés nem készült.

A Kötelezett nyilatkozata szerint a Kérelmezővel fennálló foglalkoztatási jogviszony időtartama alatt
a munkavállalók az e-mail-fiókok használatáról külön tájékoztatást nem kaptak, azonban az
informatikai biztonsági szabályzat tartalmazta a vonatkozó szabályokat. Ezen szabályok olyan
magatartási szabályokat jelentenek, mint például, hogy a levelek nem képviselhetnek a hatályos
magyar jogszabályokba ütköző magatartásformát, a levelek nem sérthetik mások becsületét, emberi
jogait, faji, nemzetiségi hovatartozását, vallási, politikai világnézetét. A levelek tartalma nem sérthet
meg szerzői és szomszédos jogokat, a levelek nem ronthatják az intézmény hírnevét, megítélését,
nem terjeszthetnek róla szándékosan valótlan információkat, illetve a levelezés nem
veszélyeztetheti a hálózati infrastruktúra működését. Tilos továbbá kéretlen leveleket, hirdetéseket
küldeni, tilos levélbombák, levelezési láncok küldése, illetve továbbküldése. Tilos a levelek
fejlécének megváltoztatása, hamis levelek küldése. Tilos a levelezési címet olyan kereskedelmi
listára feltenni, amelyről az intézmény levelező rendszerét e-mail szeméttel (spam) terhelik meg.

A Kötelezett továbbá azt nyilatkozta, hogy a munkaviszonyok megszűnésekor a munkahelyi
postafiókok azonnal inaktiválásra kerülnek, kivéve, ha a munkavállaló kéri, hogy használata a
munkaviszonya megszűnését követően is lehetséges legyen, és erre főigazgatói engedélyt kap.

A Kötelezett nyilatkozata szerint az elektronikus postafiók inaktiválása azt jelenti, hogy a fiók a
továbbiakban nem él, tartalmát archiválják. A teljes lebonyolított, változtatásmentes fióktartalom
tekinthető archívumnak, ebben történt a dokumentumkeresés. Magának a postafióknak az
inaktiválása azonban a már lebonyolított és archivált levélforgalomra nincs hatással.

A Kötelezett nyilatkozata szerint az igazgatósági postafiókok biztonsági mentése céljából a
Kérelmező mint korábbi igazgató által megrendelt MailStore e-mail archiváló rendszert használják.
Ebben a rendszerben lett beállítva a […] és a […] e-mail-fiókokban történt levelezések mentése. Az
archiválás zárt folyamaton belül történik egységes adatbázismentésként olyan módon, hogy az
archívumhoz a közvetlen hozzáférés lehetősége nem biztosított a felhasználóknak. A MailStore
rendszerben archivált e-mailek a postafiók inaktiválása után is elérhetőek maradnak, az archivált
leveleknek nincs definiált archiválási ideje. Az archivált tartalomból csak külön hozzáféréssel
rendelkező felhasználó tud eltávolítani leveleket. A MailStore rendszer bevezetésének célja az
adatbiztonság növelése volt, kizárólag az igazgatósági levelezések archiválása érdekében. Az
archiválásba ténylegesen bevont postafiókok kis számára tekintettel – a Kérelmező két e-mail
postafiókján kívül még két fiók mentésére került sor – minden érintett szóbeli értesítést kapott az
informatikai osztályvezetőtől, illetve minden érintett tisztában volt azzal is, hogy a fiókok tartalma
korlátlan ideig megőrzésre kerül. A MailStore rendszer pontos használatát mindenki számára
oktatták akként, hogy a rendszergazda minden érintett számítógépén megmutatta, hogyan kell az
archívumban keresni, illetve onnan a véletlenül törölt vagy elkeveredett leveleket visszatölteni. A
Kötelezett nyilatkozata szerint továbbá a postafiók a Kérelmező munkaviszonyával összefüggésben
létrehozott munkaeszköz volt. A munkaeszköz mint a Kérelmező munkavégzéséhez szükséges
feltétel biztosítása, a munkáltató feladata a Munka Törvénykönyvéről szóló 2012. évi I. törvény (a
továbbiakban: Mt.) 51. § (1) bekezdése alapján. Ennek megfelelően a postafiókok archiválásának
jogalapja a Kérelmezővel kötött munkaszerződés és az annak alapján biztosított, munkavégzéshez
szükséges feltétel.

5

A Kötelezett nyilatkozata szerint az archívumban történő keresést az intézmény szervezeti és
működési szabályzata szerinti főigazgató-helyettese rendelte el, szóban, melyre 2018. július 18.
napján került sor, és harminc percet vett igénybe. A nyilatkozat szerint a keresés célzottan, feladó
és levél tárgya szerint történt, melyről a Kérelmezőt nem tájékoztatták, arra munkáltatói jogkörben
került sor. A két postafiók archívumaiban történő keresés az intézmény főigazgatósága
titkárságának számítógépén történt, a MailStore rendszer webes felületét használva. A keresésnél
az intézmény főigazgatóságáról az orvosigazgató és egy másik munkatárs, illetve az intézmény
informatikai főosztályáról szintén egy munkatárs volt jelen. A keresett e-mailt azonban nem találták
meg az archívumban, ezért nem történt dokumentummentés.

I. 3. A nyilatkozatok alapján megállapítható, hogy a MailStore archiváló rendszer bevezetését a
Kérelmező mint korábbi igazgató rendelte el. A Kötelezett ebbe a rendszerbe archiválta a Kérelmező
két, magáncélra is használt e-mail-fiókjának tartalmát, majd ebben az archívumban történt
dokumentumkeresés az Mt. 11. §-ában írtak figyelembe vételével, a Kérelmezővel kötött
munkaszerződés mint a Kötelezett által hivatkozott jogalap alapján, a Kérelmező előzetes
tájékoztatása, illetve jelenléte hiányában, jogviszonya 2017. március 31. napján történt
megszűnését követő évben, 2018. július 18. napján. A munkavállalói e-mail-fiókok használatáról a
Kötelezett által hivatkozott informatikai biztonsági szabályzat szerint azon túl, hogy engedélyezett
volt a magáncélú használatuk, illetve meghatározott bizonyos, levelezésekre vonatkozó alapelveket,
magatartási szabályokat, a munkavállalók személyes adatainak kezelése, illetve az e-mail-fiókok
ellenőrzése és azzal összefüggő adatkezelés vonatkozásában semmilyen információt nem
tartalmaz. A Kérelmező a dokumentumkeresésről nem kapott tájékoztatást a Kötelezettől, csupán a
Kötelezett egyik munkavállalójának értesítése alapján szerzett erről tudomást. A Kérelmező rendelte
meg az archiváló rendszert, azonban a megrendelésről szóló, a Hatóság rendelkezésére álló
dokumentum alapján egyértelműen nem állapíthatók meg a rendszer pontos jellemzői, illetve hogy
abból ténylegesen lehet-e törölni vagy sem elektronikus levelezéseket.

II. Az eljárás során a Hatóság által megvizsgált dokumentumok:

- a […] informatikai biztonsági szabályzata (2014. 11. 01.)
- a […] informatikai biztonsági szabályzata (2017. 09. 15.)
- a MailStore archiváló rendszer megrendeléséről szóló dokumentumok
- a kérelmező által használt e-mail-fiókok MailStore rendszerben archivált levelezései

III. Alkalmazott jogszabályi rendelkezések

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az
ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló
2016/679 (EU) rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése
alapján az általános adatvédelmi rendeletet kell alkalmazni a személyes adatok részben vagy
egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem
automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik,
vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

Az Infotv. 2. § (2) bekezdése értelmében az általános adatvédelmi rendeletet az ott megjelölt
rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.

Az Infotv. 60. § (1) bekezdése szerint a személyes adatok védelméhez való jog érvényesülése
érdekében a Hatóság az érintett erre irányuló kérelmére adatvédelmi hatósági eljárást indít.

6

Az Infotv. 60. § (2) bekezdése alapján az adatvédelmi hatósági eljárás megindítása iránti kérelem
az általános adatvédelmi rendelet 77. cikk (1) bekezdésében, valamint a 22. § b) pontjában
meghatározott esetben nyújtható be.

Az általános adatvédelmi rendelet eltérő rendelkezése hiányában a kérelemre indult adatvédelmi
hatósági eljárásra az általános közigazgatási rendtartásról szóló 2016. évi CL. törvény (a
továbbiakban: Ákr.) rendelkezéseit kell alkalmazni az Infotv.-ben meghatározott eltérésekkel.

Az általános adatvédelmi rendelet 99. cikk (2) bekezdése értelmében az általános adatvédelmi
rendeletet 2018. május 25-től kell alkalmazni.

Az általános adatvédelmi rendelet 4. cikk 1. pontja szerint: „„személyes adat”: azonosított vagy
azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a
természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például
név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai,
genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több
tényező alapján azonosítható.”

Az általános adatvédelmi rendelet 4. cikk 7. pontja alapján: „„adatkezelő”: az a természetes vagy
jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok
kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés
céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő
kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja.”

Az általános adatvédelmi rendelet 5. cikk (1) bekezdés e) pontja értelmében: „A személyes adatok:
a) kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell
végezni („jogszerűség, tisztességes eljárás és átláthatóság”);
b) gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék
ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem
minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos
és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés („célhoz kötöttség”);
e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes
adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél
hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok
kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és
történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek
jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési
intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”).”

Az általános adatvédelmi rendelet 5. cikk (2) bekezdése szerint: „Az adatkezelő felelős az (1)
bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására
(„elszámoltathatóság”).”

Az általános adatvédelmi rendelet 6. cikk (1) bekezdése alapján: „A személyes adatok kezelése
kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő
kezeléséhez;
b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy
az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez
szükséges;
c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;

7

d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek
védelme miatt szükséges;
e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának
keretében végzett feladat végrehajtásához szükséges;
f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez
szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei
vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé,
különösen, ha az érintett gyermek.”

Az általános adatvédelmi rendelet 13. cikk (1)-(2) bekezdése értelmében: „(1) Ha az érintettre
vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok
megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk
mindegyikét:
a) az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
b) az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik
fél jogos érdekei;
e) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet
részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának
léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második
albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése,
valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való
hivatkozás.
(2) Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok
megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést
biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:
a) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam
meghatározásának szempontjairól;
b) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz
való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen
személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
c) a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló
adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely
nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
d) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
e) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen
alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes
adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás
elmaradása;
f) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra
vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre
nézve milyen várható következményekkel bír.”

Az általános adatvédelmi rendelet 21. cikk (1) bekezdése szerint: „Az érintett jogosult arra, hogy a
saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1)
bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken
alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti
tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok
indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival

8

szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez
kapcsolódnak.”

Az általános adatvédelmi rendelet 26. cikke alapján: „(1) Ha az adatkezelés céljait és eszközeit két
vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek. A közös
adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg az e rendelet
szerinti kötelezettségek teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 13.
és a 14. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal
összefüggő felelősségük megoszlását, kivéve azt az esetet és annyiban, ha és amennyiben az
adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog
határozza meg. A megállapodásban az érintettek számára kapcsolattartót lehet kijelölni.
(2) Az (1) bekezdésben említett megállapodásnak megfelelően tükröznie kell a közös adatkezelők
érintettekkel szembeni szerepét és a velük való kapcsolatukat. A megállapodás lényegét az érintett
rendelkezésére kell bocsátani.
(3) Az érintett az (1) bekezdésben említett megállapodás feltételeitől függetlenül mindegyik
adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja az e rendelet
szerinti jogait.”

Az általános adatvédelmi rendelet 32. cikk (1) bekezdés c) pontja értelmében: „Az adatkezelő és az
adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az
adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és
szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével
megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat
mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:
fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való
hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani.”

Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint: „A felügyeleti hatóság korrekciós
hatáskörében eljárva:
a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési
tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;
b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette
e rendelet rendelkezéseit;
c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti
jogai gyakorlására vonatkozó kérelmét;
d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben
meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel;
e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről;
f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;
g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok
helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2)
bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel
vagy amelyekkel a személyes adatokat közölték;
h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően
kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a
tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek;
i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az
e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és
j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás
felfüggesztését.”

Az általános adatvédelmi rendelet 83. cikk (2), (5) és (7) bekezdése alapján: „[…]

9

(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének
a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor,
hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének
megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:
a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés
jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk
elszenvedett kár mértéke;
b) a jogsértés szándékos vagy gondatlan jellege;
c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése
érdekében tett bármely intézkedés;
d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25.
és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;
e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;
f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak
enyhítése érdekében folytatott együttműködés mértéke;
g) a jogsértés által érintett személyes adatok kategóriái;
h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy
az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen
részletességgel;
i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban
– elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó
intézkedéseknek való megfelelés;
j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott
magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz;
valamint
k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a
jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült
veszteség.
[…]
(5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000
EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes
éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül
a magasabb összeget kell kiszabni:
a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően;
b) az érintettek jogai a 12–22. cikknek megfelelően;
c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő
továbbítása a 44–49. cikknek megfelelően;
d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;
e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti
vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be
nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.
[…]
(7) A felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül,
minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami
székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási
bírság, és ha igen, milyen mértékű.”

Az általános adatvédelmi rendelet 88. cikk (1) és (2) bekezdése szerint értelmében: „[…]
(1) A tagállamok jogszabályban vagy kollektív szerződésekben pontosabban meghatározott
szabályokat állapíthatnak meg annak érdekében, hogy biztosítsák a jogok és szabadságok védelmét
a munkavállalók személyes adatainak a foglalkoztatással összefüggő kezelése tekintetében,
különösen a munkaerő-felvétel, a munkaszerződés teljesítése céljából, ideértve a jogszabályban
vagy kollektív szerződésben meghatározott kötelezettségek teljesítését, a munka irányítását,

10

tervezését és szervezését, a munkahelyi egyenlőséget és sokféleséget, a munkahelyi
egészségvédelmet és biztonságot, a munkáltató vagy a fogyasztó tulajdonának védelmét is, továbbá
a foglalkoztatáshoz kapcsolódó jogok és juttatások egyéni vagy kollektív gyakorlása és élvezete
céljából, valamint a munkaviszony megszüntetése céljából.
(2) E szabályok olyan megfelelő és egyedi intézkedéseket foglalnak magukban, amelyek alkalmasak
az érintett emberi méltóságának, jogos érdekeinek és alapvető jogainak megóvására, különösen az
adatkezelés átláthatósága, vállalkozáscsoporton vagy a közös gazdasági tevékenységet folytató
vállalkozások ugyanazon csoportján belüli adattovábbítás, valamint a munkahelyi ellenőrzési
rendszerek tekintetében.
[…]”

Az Infotv. 75/A. §-a szerint: „A Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6)
bekezdésében foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen
azzal, hogy a személyes adatok kezelésére vonatkozó – jogszabályban vagy az Európai Unió
kötelező jogi aktusában meghatározott – előírások első alkalommal történő megsértése esetén a
jogsértés orvoslása iránt – az általános adatvédelmi rendelet 58. cikkével összhangban – elsősorban
az adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.”

Az Infotv. 61. § (4) bekezdés b) pontja alapján: „A bírság mértéke százezertől húszmillió forintig
terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére
kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság
esetén.”

IV. Döntés

IV. 1. Általános megállapítások

Az általános adatvédelmi rendelet fogalommeghatározásai alapján a munkavállaló rendelkezésére
bocsátott munkahelyi e-mail-fiók adattartalma személyes adatnak, a személyes adaton elvégzett
bármely művelet pedig adatkezelésnek minősül. Ettől elkülönülő kérdés, hogy a személyes adatok,
illetve az adatkezelés kizárólag a munkavégzéssel, annak céljaival függ össze, vagy magáncélból
történik, amely az adatkezelő személyének, illetve az adatkezelés jogszerűségének megítélésekor
bírhat jelentőséggel.

Jelen ügyben a nyilatkozatok és a becsatolt dokumentumok alapján megállapítható, hogy a
Kérelmező használatában lévő, számára a Kötelezett által biztosított úgynevezett „céges e-mail-
fiókokat” a Kérelmező magáncélra is használta, azok magáncélú használata engedélyezett is volt
számára.

Abban az esetben, amikor a munkavállaló használja az e-mail-fiókot – függetlenül attól, hogy a
munkáltató egyébként megtiltja vagy engedélyezi a magáncélú használatot – az abban tárolt
személyes adatok tekintetében maga is adatkezelési tevékenységet végez.

Amennyiben az adatkezelés a munkavégzéssel összefügg, annak érdekében történik, a
munkavállaló lényegében a munkáltató mint adatkezelő nevében jár el, és e tevékenysége mint
adatkezelői tevékenység is a munkáltatónak tudható be. Az, hogy ez az adatkezelés a
munkavállalón kívüli személyek vonatkozásában mennyiben jogszerű, egy ettől függetlenül
elbírálandó kérdés, az esetleges jogszerűtlenségért való felelősség pedig függ attól, hogy a
munkáltató mint adatkezelő által eszközölt szükséges és megfelelő technikai, szervezési
intézkedések munkáltató általi be nem tartásáról vagy ezen intézkedések hiányából fakad azzal,

11

hogy a harmadik személyek tekintetében a vonatkozó polgári jogi szabályok szerint alapvetően a
munkáltató felelős.

A munkavállaló saját személyes adatai vonatkozásában addig, ameddig az adatkezelés a munka
végzésével összefüggésben történik, az adatkezelés jogalapja munkaviszony esetében
mindenekelőtt a munkaszerződés, és az adatkezelést ennek megfelelően kell megítélni. Abban az
esetben azonban, mint jelen ügyben is, amikor közérdekű feladatot ellátó, vagy közhatalmat
gyakorló szervről, adatkezelőről van szó, az adatkezelés jogalapja ezen adatkezelés esetében az
általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap, amely szerint a
személyes adatok kezelése akkor jogszerű, ha az adatkezelés közérdekű vagy az adatkezelőre
ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához
szükséges.

Abban az esetben ugyanakkor, amikor a munkavállaló a munkáltató által biztosított e-mail-fiókban
a munka végzésével össze nem függő – magáncélú – tevékenységet is folytat és ennek kapcsán a
saját és a legtöbb esetben más harmadik személyek személyes adatait kezeli, már nem ilyen
egyértelmű a helyzet. Ebben az esetben ugyanis az adatkezelés célját nem a munkáltató határozza
meg, hanem a munkavállaló, aki ezáltal adott esetben maga is adatkezelővé válik a harmadik
személyek személyes adatai tekintetében a munkavégzésével semmilyen módon össze nem függő
adatkezelés vonatkozásában. Ő dönt a személyes adatnak az e-mail-fiókba kerüléséről, és amíg a
birtokában, rendelkezése alatt van a fiók, addig dönthet annak törléséről, egyéb felhasználásáról.
Ugyanakkor ezen személyes adatok tekintetében is a rendszer működtetése továbbra is a
munkáltató feladata és hatásköre, és a személyes adatokat tároló e-mail-fiók feletti rendelkezési
jogát sem veszíti el a munkáltató, aki a magáncélú adatok tekintetében ezért adatkezelő marad.
Ugyanígy adott esetben a munkavégzéssel összefüggő elektronikus levelek biztonsága érdekében
az is munkáltatói döntés eredménye és a munkáltató adatkezelői minőségét támasztja alá, hogy a
munkavállalói e-mail-fiók teljes tartalmát – beleértve a magáncélú leveleket is – egységes
adatbázisként archiválja és tárolja a munkáltató.

A munkáltató adatkezelői minősége azért sem kérdőjelezhető meg ebben az esetben, mert a
magáncélú használat kifejezett engedélyezésével és tudomása alapján valósul meg és ennek
következtében kerülnek, kerülhetnek az általa, a saját maga által meghatározott célú
adatkezelésekhez alkalmazott e-mail-fiókba más, munkavállalói célú adatkezeléssel
összefüggésben személyes adatok, melyek egyrészt ténylegesen a saját adatkezelései tekintetében
is eljáró személyek révén kerülnek oda. Másrészt, mivel az adatkezelés körülményei folytán
ténylegesen lehetőség van olyan személyes adatok kezelésére az e-mail-fiókban, amelyek az általa
kontrollált célból történő adatkezeléssel semmilyen kapcsolatot valójában nem mutatnak – ami egy
munkahelyi e-mail-fiók vagy mobiltelefon esetében szinte soha nem zárható ki, munkaeszközként
biztosított egyéb számítástechnikai eszköz esetében pedig bár elvárható lenne, az esetek
többségében előfordulhat, arra elvárhatóan számítania kell a munkáltatónak –, a saját adatkezelése
vonatkozásában szükséges követelmények teljesítése keretében végzett minden adatkezelési
tevékenysége szükségszerűen kiterjed ezen adatokra is (mindenekelőtt tárolja azokat), és a saját
adatkezelése jogszerűsége biztosításához elengedhetetlen feladatai ellátása keretében hozzáfér
ezen személyes adatokhoz.

Megjegyzendő még, hogy amíg a munkavállaló tekintetében az is előfordulhat, hogy az ilyen, az e-
mail-fiókban valójában kizárólag az ő magánérdekéből, azaz magáncélból tárolt adatok kezelése –
mint kizárólag személyes vagy otthoni tevékenység keretében végzett adatkezelés – kívül esik az
általános adatvédelmi rendelet alkalmazási körén, a munkáltató esetén ez nem fordulhat elő. Az
ilyen esetekben tehát egy igen sajátos együttes adatkezelési helyzet áll elő, amely esetben a
munkáltató mindenképpen adatkezelőnek minősül, a munkavállaló pedig – jogi értelemben
legalábbis – nem feltétlenül.

12

A fentiek mellett fontos továbbá, hogy a munkáltató és a munkavállaló közötti jogviszonyból adódóan
a munkáltatóé az adatkezelés jogszerűségéért való elsődleges felelősség, hiszen az ő számára
állnak elsődlegesen rendelkezésre azok az eszközök (belső szabályozási és technikai operatív
intézkedések), amelyekkel a jogszerűség biztosítható. Így az ő felelőssége e helyzet felismerése,
és megfelelő munkáltatói intézkedésekkel ennek kezelése, így közös adatkezelés esetén az
adatkezelés részleteiről való megállapodás, az adatkezeléssel összefüggő felelősségi viszonyoknak
a szabályozása is (lényegében az általános adatvédelmi rendelet 26. cikkének megfelelően).

Végezetül alapvető fontosságú, hogy az a tény, hogy a munkavállaló magáncélú személyes adatai
vonatkozásában a munkáltató adatkezelőnek minősül, nem jelenti egyúttal azt is, hogy az ilyen
célból kezelt személyes adatok kezelése a részéről minden esetben jogszerű, hiszen ha a
munkáltató oldalán nem azonosítható ezen adatok kezelésének semmilyen jogszerű célja, illetve a
6. cikk (1) bekezdése szerinti jogalapja, akkor az ilyen adatok tároláson kívüli kezelése nem lesz
jogszerű, a munkáltató részéről az ilyen személyes adatok nem használhatóak. A jogalap nélküli
adatkezelésnek elsődlegesen az az általános jogszerű következménye, hogy a munkáltató – amint
értesül ezen adatok kezelésének tényéről – megszünteti az ilyen adatok kezelését, azaz törli ezeket
az e-mail-fiókból. A jelen ügyhöz hasonló helyzetben ugyanakkor az adatok törlése mint
adatkezelési művelet – különösen ha a munkavállaló ténylegesen közös adatkezelőnek lenne
tekinthető az adott esetben – csak a munkavállaló érdekeinek figyelembe vételével, és
mindenekelőtt az adatkezelés tisztességességére vonatkozó követelménynek a betartásával
valósítható meg jogszerűen.

A munkáltatónak mint adatkezelőnek e vonatkozásban mindenekelőtt tájékoztatnia kell a
munkavállalót a tervezett adatkezelési műveletről és lehetőséget kell biztosítania számára, hogy az
adatok kezelését (törlését) kontrollálhassa, és – ha a kérdéses adatok törlése esetén azok a
munkavállaló számára a továbbiakban már nem lennének elérhetők – a munkáltató által nem
kezelhető adatokat a maga számára saját eszközre mentse. Értelemszerűen a munkáltató jogszerű
adatkezelése alá eső adatok vonatkozásában – éppen a munkáltatót mint adatkezelőt terhelő
kötelezettségek, így különösen az adatbiztonsági követelmények miatt – az ilyen adatmentést pedig
a munkáltatónak joga és kötelezettsége felügyelni annak érdekében, hogy az valóban csak a
magáncélból kezelt adatokra korlátozódjon. Egy olyan eljárás és mechanizmus kialakítása és
megvalósítása szükséges tehát, ahol lehetőség szerint mindkét fél kontrollálja az adatok
„szétválogatásának” folyamatát, és ennek során az általa jogszerűen nem kezelhető adatok csak az
adat e minőségének megállapításához, a folyamat ellenőrzéséhez legszükségesebb körére
korlátozódjon.1

A fentiek fényében kell megítélni azon munkavállaló személyes adatainak a munkáltatója általi
kezelését is, aki – amellett hogy munkahelyi célból használja az e-mail-fiókot – magáncélból is
igénybe veszi a munkáltatója által biztosított e-mail-fiókot.

Az ilyen helyzetekben az adatkezelés jogszerűségét, az adatvédelmi követelményeknek való
megfelelőségét e tekintetben a fentieknek megfelelően kell megítélni.

1 Ha a munkáltató kifejezetten megengedi a magáncélú használatot mint adatkezelő, abban az esetben is csak akkor lesz

jogszerű az adatkezelés a részéről, ha ennek az általános adtavédelmi rendelet 6. cikk (1) bekezdése szerinti megfelelő
jogszerű alapja van. Pusztán az ilyen engedély ugyanakkor önmagában nem elegendő, ehhez szükséges a munkavállaló
megfelelő tájékoztatása, az ilyen adatkezelés részleteinek pontos, a munkavállalóval konszenzusos alapon, tényleges
megállapodás formájában való rendezése – attól is függően, hogy csak a munkavállaló adatairól vagy általa harmadik
személyek adatainak kezeléséről is szó van-e.

13

IV. 2. A magáncélú leveleket tartalmazó e-mail archívumok

IV. 2. 1. Általános megjegyzések

A Kérelmező kifogásolta, hogy a 2017. április 1. napján megszűnt jogviszonyát követő évben, 2018
júliusában – hozzájárulása nélkül – a 2017. április 1. napja előtt keletkezett kórházi elektronikus
levelezése inaktivált e-mail-fiókjai visszaállítását rendelte el korábbi munkahelyének jelenlegi
vezetése, mert kerestek egy dokumentumot. A Kérelmező nyilatkozata szerint a fiókokban az ő és
más személyek személyes adatait és magáncélú levelezéseit ismerhette meg a Kötelezett.

Jelen ügyben két adatkezelési műveletről van szó. Az egyik a Kérelmező magáncélú leveleit
tartalmazó e-mail-fiókok archívumainak tárolása, a másik az archívumokban történő keresés. A
Kérelmező kérelmében alapvetően az archivált e-mail-fiókjaiban történő keresést kifogásolta,
azonban tekintettel arra, hogy a két adatkezelési művelet egymással összefügg, a keresés,
megtekintés, nem valósulhatott volna meg az e-mailek-fiókok tárolása nélkül, ezért a Hatóság
vizsgálta az elektronikus levelek megőrzésének jogszerűségét is.

A Kötelezett által a Hatóság részére megküldött archivált e-mail-fiókok tartalmának áttekintése során
a Hatóság megállapította, hogy a Kérelmező által használt e-mail-fiókok, a levelezései, a Kérelmező
számos magáncélú levelezéseit (például többek között családjára vonatkozóan családfák, illetve
baráti levelezések) is tartalmazták, így a Kötelezett a Kérelmező e-mail-fiókjai archiválásával a
Kérelmező ezen magáncélú levelekben található személyes adatait is tárolta és jelenleg is tárolja,
illetve azokban keresést végzett.

IV. 2. 2. Az adatkezelés célja és jogalapja

A Kötelezett az elektronikus postafiókok archiválásának céljaként az adatbiztonság növelésére
hivatkozott, melyet a Hatóság általában megfelelő, legitim adatkezelési célnak ismer el, mivel a
hivatali működéshez, munkavégzéshez szükséges bizonyos munkavégzéssel összefüggő
dokumentumokat megőriznie és esetleges adatbiztonsági probléma esetén helyreállítania kell a
munkafolyamatok folytonosságának biztosítása érdekében.

A Hatóság elfogadhatónak tartja adott esetben a munkavállalók magáncélra is használt e-mail-fiókjai
tartalmának tárolását azon okból, hogy a hivatali működéshez, munkavégzéshez szükséges
dokumentumokat megőrizze a Kötelezett a munkafolyamatok folytonosságának biztosítása
érdekében, meghatározott ideig, azonban ehhez megfelelő jogalappal kell rendelkeznie, és
különbséget kell tenni a levelek tartalma között aszerint, hogy azok a munkavégzéssel függnek
össze, vagy magánjellegű e-mailekről van szó.

Ezen célokból a munkaviszony fennállta alatt mind a munkavégzési, mind a magáncélú levelezések
esetében az általános adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap teszi
lehetővé biztonsági mentések készítését – az információbiztonsági szabályokra is tekintettel –, mely
jogalap szerint a személyes adatok kezelése jogszerű lehet akkor is, ha az adatkezelés közérdekű
– vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett – feladat
végrehajtásához szükséges.

A munkaviszony megszűnése után szintén ezen célból és jogalap alapján archiválhatók, kezelhetők
az elektronikus levelek. A kifejezetten magánjellegű levelezéseket azonban tekintettel arra is, hogy
azok kezelése a munkáltató oldaláról nem lehet szükséges semmilyen szempontból, főszabály
szerint nem lehet archiválni. A Hatóság abban az esetben fogadná el ezen levelezések puszta
tárolását – minden más adatkezelési műveletet kizárva – biztonsági mentési célból, ha a
munkavégzési célú és a magáncélú levelek egységes adatbázisként történő mentése következtében
a magáncélú levelek leválogatása aránytalanul nagy, észszerűtlen erőfeszítést igényelne a

14

munkáltató részéről. Ennek indokoltságát, szükségességét azonban a munkáltatónak kell
bizonyítania. A munkáltatónak továbbá a rendszer működéséről megfelelően tájékoztatnia kell a
munkavállalókat, megjelölve számukra azt – többek között –, hogy milyen időközönként kerül sor
biztonsági mentésre a rendszerben, biztosítva ezzel például számukra azt, hogy a mentés előtt
ténylegesen törölni tudják magánlevelezéseiket.

A Kötelezett mindezzel szemben azonban a Kérelmező e-mail-fiókjai archiválásának jogalapjaként
a Kérelmezővel kötött munkaszerződést jelölte meg.

Azon jogalapokat, amelyekre hivatkozással személyes adatok kezelése jogszerű lehet, az általános
adatvédelmi rendelet 6. cikk (1) bekezdése taxatív módon sorolja fel. Noha az általános adatvédelmi
rendelet 88. cikke a foglalkoztatással összefüggő adatkezelések vonatkozásában a nemzeti
jogalkotók számára – a rendelkezésben meghatározott keretek között – szabályozási lehetőséget
biztosít, ezen nemzeti jogalkotási intézkedések a 6. cikk (1) bekezdésében meghatározott jogalapok
körét nem bővíthetik. Ebből fakadóan az adatkezelő az általános adatvédelmi rendelet 6. cikk (1)
bekezdés a)-f) pontjában meghatározott jogalapok valamelyikére alapozhatja adatkezelésének
jogszerűségét, ezen jogszerűségi feltételek teljesülésének hiányában – pusztán valamely nemzeti
jogi rendelkezés – az adatkezelés jogszerűségének alátámasztására nem elégséges, még akkor
sem, ha maga az általános adatvédelmi rendelet egyes adatvédelmi jogalapok vonatkozásában
kifejezetten megköveteli a nemzeti jogalkotói intézkedést.2

A Hatóság álláspontja szerint a munkaszerződésre mint jogalapra azért nem lehet hivatkozni, mivel
az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti, úgynevezett szerződéses
jogalap akkor alkalmazható, ha az adatkezelés a szerződés teljesítéséhez szükséges. Az általános
adatvédelmi rendeletet megelőzően hatályos adatvédelmi irányelv3 29. cikke szerint létrehozott
Adatvédelmi Munkacsoport4 az adatkezelő 95/46/EK irányelv 7. cikke szerinti jogszerű érdekeinek
fogalmáról szóló 6/2014. számú véleményében5 – melyben írtak az általános adatvédelmi rendelet
alkalmazási időszakában is értelmezésül szolgálhatnak – továbbá akként fogalmazott a III. 2. 2.
pontjában, hogy a szerződéses jogalapot szigorúan kell értelmezni. A jogalap nem alkalmazható
olyan helyzetekre, ahol az adatkezelés valójában nem a szerződés teljesítéséhez szükséges,
hanem azt az adatkezelő egyoldalúan az érintettre erőlteti.

Ebből következően jelen ügyben tehát az archivált e-mail-fiókok tárolásának jogalapjaként a
Kötelezett nem hivatkozhat a munkaszerződésre, mivel a szerződés teljesítéséhez ezen
adatkezelés nem szükséges.

Mindez azonban nem jelenti azt, hogy a Kötelezettnek ne lehetne jogalapja a Kérelmező archivált
e-mail-fiókjai tárolására. E következtetés önmagában abból sem vonható le szükségszerűen, hogy
az adatkezelő az adatkezelést mely, az általános adatvédelmi rendelet 6. cikk (1) bekezdésében
meghatározott jogalapra alapozta.

2 Vö. pl.: általános adatvédelmi rendelet 6. cikk (3) bekezdés.

3 A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló

95/46/EK európai parlamenti és tanácsi irányelv
4 Az Adatvédelmi Munkacsoport az általános adatvédelmi rendelet alkalmazásának kezdőnapját megelőzően az
adatvédelemmel, valamint a magánélet védelmével kapcsolatos kérdésekkel foglalkozó, független európai tanácsadó
szerv volt, helyébe az Európai Adatvédelmi Testület lépett.
5 A 6/2014. számú vélemény az alábbi linkről érhető el:

https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_hu.pdf

15

Itt jegyzendő meg azonban az is, hogy már önmagában az, ha az adatkezelő az adatkezelést
megelőzően nem megfelelően azonosította az adatkezelés jogalapját, szükségszerűen vezethet az
általános adatvédelmi rendelet 6. cikkében meghatározottakon túli rendelkezéseiben rögzített, az
adatkezelőt terhelő kötelezettségek betartása tekintetében mulasztására, vagy nem megfelelő
teljesítésére és így e jogsértés tekintetében bármely, az általános adatvédelmi rendeletben
meghatározott jogkövetkezmény alkalmazására.

A fentiek alapján tehát a közfeladatot ellátó szervek esetében az adatkezelés jogalapja az általános
adatvédelmi rendelet 6. cikk (1) bekezdés e) pontja szerinti jogalap lehet, melynek értelmében a
személyes adatok kezelése akkor jogszerű, ha az adatkezelés közérdekű vagy az adatkezelőre
ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához
szükséges.

Mivel a vitatott adatkezelést a Kötelezett a Kérelmező jogviszonyának fennállása alatt közfeladatot
ellátó szervként az iratkezelési, információbiztonsági szabályok betartása érdekében hajtotta végre,
az e-mail-fiókok egységes adatbázisként történő, meghatározott ideig történő tárolásának
szükségessége a jogi szabályozásból és nyilatkozataiból adódóan megállapítható. Ebből
következően a Kötelezett rendelkezhet jogalappal az e-mail-fiókok teljes archívumainak
megőrzésével összefüggő adatkezelés tekintetében – beleértve ebbe mind a magáncélú, mind a
munkavégzési célú e-maileket –, mely az általános adatvédelmi rendelet 6. cikk (1) bekezdés e)
pontja szerinti jogalap. Ugyanakkor ez a tárolás nem jelent korlátlan ideig történő adatmegőrzést.
Az ezzel ellentétes gyakorlat ugyanis az egységes adatbázisban lévő személyes adatok
tekintetében cél nélküli, készletező adatkezeléshez vezet, amely a célhoz kötött adatkezelés elvét,
valamint a következő pontban részletezett korlátozott tárolhatóság elvét is sérti. Ezen kívül az
iratkezelési szabályok alapján a munkavégzéssel összefüggő elektronikus dokumentumokat sem e-
mail-fiókokban lehet tárolni, hanem ezen szabályoknak megfelelően elektronikus iktatórendszerben,
vagy papír alapon, iktatva, iratanyagként kell megőrizni.

IV. 2. 3. A korlátozott tárolhatóság elve

Figyelembe veendő tehát az is, hogy az időtartam megjelölése nélküli, korlátlan megőrzési idő
úgynevezett készletező adatkezeléshez vezet, amely ellentétes a korlátozott tárolhatóság elvével.
Ez következik az általános adatvédelmi rendelet (39) preambulumbekezdéséből is, mely szerint a
személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódhat, és ennek biztosítása
érdekében az adatkezelőnek tényleges törlési vagy rendszeres felülvizsgálati határidőket kell
megállapítania.

Ilyen határidőket a Kötelezett azonban nem határozott meg informatikai biztonsági szabályzatában.
A Hatóság rendelkezésére álló, a MailStore archiváló rendszer megrendeléséről szóló
dokumentumok azonban akként fogalmaznak, hogy „nincs több elveszített e-mail” és „a MailStore
Server teljesen megszünteti az adatvesztés kockázatát”. Azaz a rendszer – az abból történő
manuálisan végzett törlést leszámítva – korlátlan ideig megőrzi az archivált e-mailtartalmakat,
melyet alátámasztanak a Kötelezett által megküldött, a Kérelmező levelezéseit a vizsgált időszakban
is tartalmazó állományok. Ez a fajta tárolás pedig a korlátozott tárolhatóság elvével ellentétes
adatkezelésnek minősül. Az a Kötelezett által hivatkozott körülmény, mely szerint lehetőséget
biztosítottak a Kérelmezőnek postafiókja karbantartására, a Kérelmező vonatkozásában egyfajta
enyhítő körülményként értékelendő, azonban általánosságban nem mentesíti a Kötelezettet a
rendszeres időközönkénti tényleges törlési kötelezettsége alól, illetve azon körülmény alól, hogy
korlátlan ideig tárolta a Kérelmező és adott esetben az érintett további munkavállalók személyes
adatait tartalmazó magáncélú levelezéseit a rendszer vizsgált időszak szerinti beállításai alapján. A
Kötelezett nyilatkozata szerint továbbá a Kérelmezőnek nincs sem hozzáférése, sem ráhatása az
archívumokra.

16

Minderre tekintettel a Hatóság megállapítja, hogy a Kérelmező magánlevelezései konkrét határidő
nélküli megőrzésével a Kötelezett megsértette az általános adatvédelmi rendelet 5. cikk (1)
bekezdés e) pontja szerinti korlátozott tárolhatóság elvét.

IV. 2. 4. Megfelelő technikai, szervezési intézkedések

Ezen túlmenően a Hatóság, mivel általánosságban a munkavállalói és a kérelmezői e-mail-fiókok és
azok tartalmának archiválásával szorosan összefügg az azokra vonatkozó megfelelő szabályozás
és az adatvédelmi követelményeknek való megfelelés biztosítása, vizsgálta ezzel összefüggésben
az általános adatvédelmi rendelet szerinti megfelelő technikai, szervezési intézkedéseknek való
megfelelést. A Hatóság rendelkezésére álló információk alapján – a vizsgált időszakban, 2018.
május 25. napjától az adatvédelmi hatósági eljárás megindulásának időpontjáig, 2018. július 28.
napjáig – a Kötelezett nem rendelkezett belső szabályzattal az e-mail-fiókok és azok tartalmának
archiválására vonatkozóan. Az adatkezelés belső dokumentumban történő szabályozása, az
adatkezelési műveletek rögzítése azért szükséges, mert az adatkezelések tervezésétől azok
folytatásán át a célok megvalósulásáig tett valamennyi lényegi lépés – így többek között az
adatkezelés időtartamának, a személyes adatok kezelésére vonatkozó törlési, illetve felülvizsgálati
határidők megállapításának – adminisztrálását, dokumentálását is magában foglalja, és egyben az
adatvédelmi követelményeknek való megfelelés igazolására való képességet feltételezi. Ezen elv a
gyakorlatban – többek között – az adatkezelők számára az általános adatvédelmi rendeletben
előírtaknak megfelelő szabályzatok, eljárásrendek szakszerű rögzítését irányozza elő. A megfelelő
technikai, szervezési intézkedések magukban foglalják a beépített és alapértelmezett adatvédelem
teljesülését is, vagyis azt, hogy az elvek és az adatvédelmi követelmények érvényesülését garanciák
beépítésével segíti elő az adatkezelő.

Tekintettel arra, hogy a Kötelezett nem rendelkezett sem ténylegesen, sem szabályozás szintjén az
e-mailek tartalmának megőrzéséről, illetve nem állapított meg tényleges törlési, valamint rendszeres
felülvizsgálati határidőket, annak érdekében, hogy biztosítsa az adatvédelmi elvek érvényesülését,
nem tette meg a szükséges megfelelő technikai, szervezési intézkedéseket, megsértve ezzel az
általános adatvédelmi rendelet 24-25. cikkét mind a munkavállalók, mind a Kérelmező
vonatkozásában.

A Hatóság álláspontja szerint a Kötelezettnek egy belső szabályzatot célszerű megalkotnia a
munkavállalók rendelkezésére bocsátott e-mail-fiókok használatának szabályairól. A belső
szabályzatban többek között az alábbiakra szükséges kitérni:
- használhatók-e magáncélra ezek az e-mail-fiókok6,
- ezen e-mail-fiókokról biztonsági másolat készítésének és megőrzésének, inaktiválásuk
szabályozására, illetve arra, hogy mikor kerül sor az e-mailek végleges törlésére,
- az e-mail-fiókok használata ellenőrzésének, áttekintésének részletes szabályaira, azt ki és
milyen módon hajthatja végre a szervezeten belül, milyen jogai vannak az érintett
munkavállalónak az eljárás során.

6 A vizsgált időszakban hatályos Mt. nem
tartalmazott erre vonatkozó szabályt, azonban a 2019. április 26. napjától
hatályos Mt. 11/A. § (2) bekezdése szerint a munkavállaló a munkáltató által a munkavégzéshez biztosított
számítástechnikai eszközt kizárólag a munkaviszony teljesítése érdekében használhatja – eltérő megállapodás
hiányában.

17

IV. 2. 5. A Kötelezett adatkezelői felelőssége

A Kötelezett hivatkozott arra, hogy a Kérelmezőnek tudomása volt a rendszer működéséről, mivel
azt vezetőként korábban ő rendelte meg. A Hatóság álláspontja szerint ezen körülmény alapján
elvárható lett volna a Kérelmezőtől az is, hogy felmérje a rendszer adatvédelmi vonatkozásait.
Figyelembe veendő ugyanakkor, hogy az Adatvédelmi Munkacsoport az „adatkezelő” és az
„adatfeldolgozó” fogalmáról szóló 1/2010. számú véleményében7 – melyben írtak az általános
adatvédelmi rendelet alkalmazási időszakában szintén értelmezésül szolgálhatnak –, annak III. 1.
c) pontjában kifejtette, hogy az adatkezelésért, az adatvédelmi szabályokból eredő
kötelezettségekért az adatkezelő felelős. Ez alól kivétel, amikor egyértelműen egy természetes
személy felelőssége állapítható meg azzal, hogy ilyen esetben is, például, amikor konkrét
természetes személyt neveznek ki, hogy biztosítsa az adatvédelmi elvek betartását, ez a személy
nem lesz adatkezelő, hanem annak a jogi személynek a nevében jár el, amely adatkezelői
minőségében továbbra is felelős az alapelvek megsértése esetén.

Figyelembe veendő továbbá az a körülmény, hogy a Kérelmező több, mint egy éve nem töltötte be
az igazgatói tisztséget, amikor az e-mail-fiókjainak archivált tartalmát ellenőrizték, továbbá, hogy
abban az időszakban is más töltötte már be ezt a pozíciót, amikor az általános adatvédelmi
rendeletnek való megfeleléshez szükséges intézkedéseket tették.

A Hatóság a hasonló esetek elkerülése érdekében mindenekelőtt megfelelő intézkedésnek tartja,
ha munkáltató részletesen tájékoztatja a munkavállalókat az archiválásról és annak szabályairól. A
Hatóság elfogadhatónak tartja továbbá, ha a megszűnő foglalkoztatási jogviszonyok esetén a
munkáltató az érintett munkavállaló számára lehetőséget biztosít arra, hogy törölje magáncélú
levelezéseit az általa használt e-mail-fiókokból. A Hatóság álláspontja szerint ez a törlés
megvalósítható az érintett munkavállaló utolsó munkanapján a munkáltatói jogkör gyakorlója, a
munkavállaló szervezeti egységének vezetője, vagy a szervezetben döntésre jogosult más
munkavállaló jelenlétében, elkerülve azt, hogy adott esetben olyan dokumentumok is törlésre
kerüljenek, amelyek nem a munkavállaló magáncélú adatai. A jogszerűség érdekében a Hatóság
javasolja ezen törlési folyamatról jegyzőkönyv vezetését. Minderről a Hatóság álláspontja szerint a
munkáltatónak belső szabályzatot kell alkotnia annak érdekében, hogy az elszámoltathatóság elve
alapján igazolni tudja, hogy minden szükséges intézkedést megtett a megszűnt munkaviszonyú
érintett személyes adatainak védelme érdekében. Amennyiben a munkáltató mindezen intézkedései
ellenére a munkavállaló nem él törléshez való jogával a jogviszony megszűnését követő észszerű
határidőn belül, és ezt a munkáltató igazolni tudja, a munkáltatót nem terheli felelősség. A Hatóság
mindezek mellett javasolja azt is, hogy amennyiben magáncélra is használhatók az e-mail-fiókok,
azokban különálló mappát hozzanak létre a magáncélú levelezésekre, kizárva azokat a biztonsági
mentések alól, és egyúttal lehetővé téve adott esetben a munkaviszony megszűnése után azok
érintett számára hozzáférhetővé tételét, illetve tényleges törlését.

IV. 3. A magáncélú leveleket tartalmazó e-mail-archívumokban történő keresés

IV. 3. 1. Az adatkezelés célja és jogalapja

A Kötelezett a Kérelmező archivált e-mail-fiókjaiban történő keresés céljaként a munkaviszony során
keletkezett hivatalos dokumentumok megtalálására hivatkozott, az Mt. 11. §-ában foglaltak
tiszteletben tartása mellett, míg jogalapjaként az érintett munkaviszonyát megalapozó
munkaszerződést jelölte meg.

7 Az 1/2010. számú vélemény az alábbi linkről érhető el:

https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_hu.pdf

18

A Hatóság a Kötelezett által megjelölt adatkezelési célt megfelelő, legitim adatkezelési célnak ismeri
el, mivel a hivatali működéshez, munkavégzéshez szükséges dokumentumokat, azok elkeveredése
esetén, a Kötelezettnek minden szükséges lépést meg kell tennie azok megtalálása érdekében,
biztosítva ezzel a munkafolyamatok folytonosságát.

Az e-mail-fiókokban történő dokumentumkereséssel összefüggő adatkezeléssel kapcsolatban a
Hatóság álláspontja az, hogy, mint minden adatkezelés, így jelen esetben a Kérelmező magáncélú
leveleit tartalmazó e-mail-fiókokban történő dokumentumkeresésekkel összefüggő adatkezelés
esetében is, a Kötelezettnek megfelelő jogalappal kell rendelkeznie. Ebben az esetben a
Kötelezettnek az intézkedései során be kellett tartania az adatvédelmi követelményeket.

Jelen határozat IV. 2. 2. pontjában tett megállapításokra tekintettel a Kötelezett által hivatkozott
munkaszerződésre a dokumentumkeresés kapcsán szintén nem lehet jogalapként hivatkozni, mivel
az általános adatvédelmi rendelet 6. cikk (1) bekezdés b) pontja szerinti jogalap akkor alkalmazható,
ha az adatkezelés a szerződés teljesítéséhez szükséges. Jelen ügyben azonban a
dokumentumkereséssel összefüggő adatkezelés – a foglalkoztatási jogviszony megszűnésére is
tekintettel – a munkaszerződés teljesítéséhez nem szükséges, így ezen jogalapra a Kötelezett nem
hivatkozhat.

Mindez azonban – ahogyan az archivált e-mail-fiókok tárolása esetében sem – nem jelenti azt, hogy
a Kötelezettnek ne lehetett volna jogalapja a Kérelmező archivált e-mail-fiókjaiban történő,
munkavégzéssel összefüggő levelek keresésre, mivel közfeladatot ellátó szervként az iratkezelési,
információbiztonsági szabályokból és nyilatkozataiból adódóan az adatkezelés a közérdekű
feladatai végrehajtásához való szükségessége megállapítható. Ebből következően a Kötelezett
rendelkezett jogalappal az e-mail-fiókok archívumaiban történő, munkavégzési célú levelekben
történő kereséssel összefüggő adatkezelés tekintetében, mely az általános adatvédelmi rendelet 6.
cikk (1) bekezdés e) pontja szerinti jogalap.

Ugyanakkor mindez a Kérelmező e-mail-fiókjaiban található, kizárólag munkavégzéssel összefüggő
leveleire vonatkozik. A Kérelmező magánlevelezéseiben történő keresésre – mivel azok nem
kapcsolódnak a foglalkoztatási jogviszonyhoz – a Kötelezett nem jogosult jogszerű adatkezelési cél
és megfelelő jogalap hiányában. Ebből következően a Hatóság megállapítja, hogy a Kötelezett a
Kérelmező kifejezetten magánjellegű leveleit is tartalmazó e-mail-fiókjaiban történő kereséssel
megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés b) pontját és az általános
adatvédelmi rendelet 6. cikkét.

IV. 3. 2. A tisztességes adatkezelés követelménye

A Kötelezett nyilatkozata szerint az archívumokban történő keresést az intézmény szervezeti és
működési szabályzata szerinti főigazgató-helyettese rendelte el, szóban. A nyilatkozat szerint a
keresés célzottan, feladó és levél tárgya szerint történt, melyről a Kérelmezőt nem tájékoztatták,
arra munkáltatói jogkörben került sor. A keresésnél az intézmény főigazgatóságáról az
orvosigazgató és egy másik munkatárs, illetve az intézmény informatikai főosztályáról szintén egy
munkatárs volt jelen. A keresett e-mailt azonban nem találták meg az archívumban, ezért nem történt
dokumentummentés. Minderre tekintettel a Kérelmező nem lehetett jelen a dokumentumkeresésnél,
és így nem volt módja arra, hogy a nem munkavégzési célú leveleit törölje, töröltesse vagy azokról
maga számára másolatot készítsen.

19

Még ha tényszerűen igaz is, hogy az email-fiók a Kötelezett tulajdonában, illetve rendelkezése alatt
áll, ezért annak áttekintését, egy abban történő esetleges dokumentumkeresést anélkül is meg tud
valósítani, hogy ahhoz a Kérelmező bármilyen közrehatása szükséges lenne, ez nem jelenti, hogy
az ilyenfajta e-mail-fiók áttekintés és abban történő dokumentumkeresés jogszerű is lenne. Ezen
adatkezelésnél ugyanis a tisztességes adatkezelés elvéből – a fentebb ismertetett adatkezelési
viszonyokból adódóan is – egy olyan követelmény is származik, hogy az e-mail-áttekintése során
főszabályként biztosítani kell a munkavállaló jelenlétét. Az adatkezelés tisztességes volta a
jogszerűséget is magában foglaló követelmény, az érintett információs önrendelkezési jogának, és
ezen keresztül magánszférájának, emberi méltóságának tiszteletben tartását jelenti: az érintett nem
válhat kiszolgáltatottá az adatkezelővel, sem más személlyel szemben. Az adatalany mindvégig
alanya kell, hogy maradjon a személyes adatok kezelésével járó folyamatnak, és nem válhat annak
puszta tárgyává. A munkavállaló jelenléte nélküli e-mail-fiók áttekintés alapvetően ellentétes a
tisztességes adatkezelés elvével, mivel a munkavállaló magánszférájába való behatolásnak
minősül.

A munkavállaló előzetes tájékoztatása és – személyes, vagy ha ez nem biztosítható,
meghatalmazottja, képviselője – jelenléte az e-mail-fiók áttekintése, illetve a dokumentumkeresés
során azért is szükséges, mert a munkavállaló és harmadik személyek különböző személyes adatai
lehetnek benne a levelezőrendszerben, amelyek kezelésére a munkáltató – a személyes adat e
jellege ellenőrzésén túl – nem jogosult. Ha az e-mail-fiók áttekintés és dokumentumkeresés során
a munkavállaló – képviselője, meghatalmazottja – jelen van, és jelezheti valamely személyes adatot
tartalmazó e-mail tartalmának megtekintése előtt, hogy az magáncélú leveleket tartalmaz, akkor
ezzel biztosítható, hogy a munkáltató ne sértse meg ezt a tilalmat.

Az e-mail fiók áttekintésének körülményeitől függően ugyanakkor elképzelhetőek olyan helyzetek,
amikor a munkavállaló személyes jelenléte objektív okokból nem biztosítható. A Hatóság – a
főszabálytól eltérően – egyes rendkívüli esetekben ezért elfogadhatónak tartja azt is, ha a
munkavállaló nincs jelen, például azonnali intézkedést igénylő esetekben, vagy volt munkavállaló
esetén. Ebben az esetben is azonban egyrészt tájékoztatást kell nyújtani a munkavállaló számára
a tervezett munkáltatói intézkedésről, másrészt lehetőséget kell biztosítani számára arra is, hogy ha
ő nem is tud jelen lenni, helyette meghatalmazottja vagy képviselője legyen jelen. Amennyiben ezen
megelőző intézkedések – előzetes tájékoztatás és a munkavállaló vagy meghatalmazottja,
képviselője jelenlétének biztosítása – ellenére a munkavállaló nem érhető el vagy nem jelenik meg
sem személyesen, sem képviselője útján, akkor távollétében, független harmadik személy
alkalmazásával is hozzá lehet férni az e-mail-fiókjához az azonnali intézkedések végrehajtása
érdekében. Ilyen esetben is meg kell ugyanakkor mindent tenni annak érdekében, hogy az e-mail-
fiók áttekintésének körülményei olyan módon legyenek rögzítve, hogy annak pontos menete, az
annak során megismert adatok köre, azaz a ténylegesen elvégzett adatkezelési műveletek, és azok
jogszerűsége utólag ellenőrizhető legyen – az elszámoltathatóság elvéből is következően.

Ezen fenti követelményeknek azonban a Kötelezett nem tett eleget, mert, bár nyilatkozata szerint
célzottan, a levél tárgyára keresve keresték a dokumentumot, nem tett semmilyen intézkedést sem
annak érdekében, hogy a Kérelmező előzetesen tudomást szerezzen az archivált e-mail-fiókjaiban
történő dokumentumkeresésről, sem annak érdekében, hogy ekkor a jelenlétének lehetőségét
biztosítsa. A Hatóság álláspontja szerint a Kötelezettnek ez a magatartása az adatkezelés
tisztességességét sérti, hiszen a Kérelmezőnek így nem volt lehetősége a saját – és adott esetben
a levelezésekben érintett más, harmadik személyek – személyes adatainak védelme érdekében
eljárva jelezni a Kötelezettnek a levelek magáncélú, személyes jellegét. A Kötelezett így kontroll
nélkül férhetett hozzá a Kérelmező – és adott esetben harmadik személyek – magáncélú
levelezéseihez. A Kérelmező tudomása nélküli archivált e-mail-fiókjaiban történő
dokumentumkeresés tehát ellentétes a tisztességes adatkezelés elvével.

20

Mindebből következően a Hatóság a Kérelmező jelenléte lehetőségének biztosítása érdekében tett
lépések hiánya miatt megállapítja, hogy a Kötelezett adatkezelése nem felelt meg a tisztességes
adatkezelés elvének, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (1) bekezdés a)
pontját.

IV. 3. 3. A megfelelő előzetes tájékoztatás követelménye és az átláthatóság elve

Ahhoz, hogy az adatkezelés jogszerű és átlátható legyen, további követelmény, hogy a
munkáltatónak előzetesen részletes tájékoztatást kell biztosítania a munkavállalók számára
általánosságban az e-mail fiók adott esetben történő áttekintésének lehetőségéről, illetve a konkrét
áttekintés, dokumentumkeresés előtt is, ezért a Hatóság vizsgálta a tájékoztatás meglétét is. A
tájékoztatásban a munkáltatónak ki kell térnie az általános adatvédelmi rendelet 13. cikk (1)-(2)
bekezdés szerinti adatkezelési körülményeire, azok közül kiemelt figyelmet fordítva arra, hogy:
- milyen célból, milyen munkáltatói érdekek miatt kerülhet sor az e-mail-fiók áttekintésére
(általános adatvédelmi rendelet 13. cikk (1) bekezdés c) és d) pont),
- a munkáltató részéről ki, milyen módon végezheti az áttekintést (általános adatvédelmi
rendelet 13. cikk (1) bekezdés a) pont mint az adatkezelő nevében az áttekintést folytató
képviselője),
- milyen szabályok szerint kerülhet sor az adatkezelésre (fokozatosság elvének betartása) és
mi az eljárás menete (általános adatvédelmi rendelet 13. cikk (1) bekezdés c) pont),
- milyen jogai és jogorvoslati lehetőségei vannak a munkavállalónak az adatkezeléssel
kapcsolatban (általános adatvédelmi rendelet 13. cikk (2) bekezdés b) és d) pont).

Az általános tájékoztatáson túlmenően lehetőleg a konkrét intézkedés előtt is tájékoztatni kell a
munkavállalót arról, hogy milyen munkáltatói érdek miatt kerülhet sor az adatkezelésre.

A Kötelezett az előbb kifejtettekkel ellentétben azonban semmilyen tájékoztatást nem nyújtott a
Kérelmező számára az adatkezelésről.

Mindezek alapján a Hatóság megállapítja, hogy a Kötelezett, mivel nem nyújtott előzetesen sem
általánosságban, sem a konkrét esetben a Kérelmező e-mail-fiókjainak közvetlen áttekintése és a
dokumentumkeresés előtt tájékoztatást az adatkezelésről és az azzal kapcsolatos információkról,
megsértette az általános adatvédelmi rendelet 13. cikkét. Tekintettel továbbá arra, hogy az általános
adatvédelmi rendelet (60) preambulumbekezdése értelmében az átlátható és a fent hivatkozott
tisztességes adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés
tényéről és céljairól, továbbá minden olyan információról, amelyek a tisztességes és átlátható
adatkezelés biztosításához szükségesek, mely követelménynek a Kötelezett nem tett eleget,
megsértette az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) pontja szerinti átláthatóság
elvét is.

IV. 4. Az elszámoltathatóság követelménye

A Kötelezett az eljárásban nem igazolta, hogy a Kérelmező archivált e-mail-fiókjainak áttekintését
megelőzően bármilyen, az adatkezeléssel kapcsolatos technikai, szervezési intézkedést tett volna,
ideértve az előzőekben kifejtetteknek megfelelően az e-mail-fiókok tárolását is. A Kötelezett az
archiválásra és a dokumentumkeresésre tekintettel ugyan az adatkezelések szükségességét igazolta,
azonban az adatkezelőnek az adatkezelésért viselt objektív felelősségéhez igazodó gondos
adatkezelésből fakadó kötelezettségei mellőzésével összességében jogsértő módon valósította meg
az adatkezeléseit. Ezzel a magatartásával megsértette az általános adatvédelmi rendelet 5. cikk (2)
bekezdésében meghatározott elszámoltathatóság alapelvi követelményét is.

21

IV. 5. Szankcionálás

A Hatóság hivatalból megvizsgálta, hogy indokolt-e a Kötelezettel szemben adatvédelmi bírság
kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése, az Infotv.
61. § (4) bekezdés b) pontja és az Infotv. 75/A. §-a alapján mérlegelte az ügy összes releváns
körülményét, és megállapította, hogy a jelen eljárás során feltárt jogsértés esetében a figyelmeztetés
se nem arányos, se nem visszatartó erejű szankció, mert a kérelem tárgyát képező archivált e-mail-
fiókok tárolása és azokban történő dokumentumkeresések mint adatkezelések során a Kötelezett
számos adatkezelőre háruló kötelezettségét megszegte, ezért bírság kiszabása szükséges. A
bírságkiszabással a Hatóság speciális prevenciós célja az, hogy ösztönözze a Kötelezettet arra,
hogy adatkezelési tevékenységét tudatosan folytassa, és az érintetteket ne tárgyként, hanem
valóban jogosultként kezelje, biztosítva az ebből eredő jogaik, a személyes adataik kezelése feletti
kontroll gyakorlásához szükséges információkat, egyéb feltételeket. Általában pedig szükséges
valamennyi hasonló helyzetben lévő adatkezelő számára világossá tenni, hogy a személyes adatok
kezelése fokozott tudatosságot igényel, nem lehet e téren a józan belátásra hagyatkozva bármilyen
proaktív intézkedések megtétele nélkül működni, gondatlanul bízva abban, hogy nem származik
hátrány a személyes adatok ténylegesen kontrollálatlan kezeléséből. Az ilyen hanyag magatartás
az érintettek jogait figyelmen kívül hagyja, és mint ilyen, nem maradhat szankcionálatlanul.

A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a
Kötelezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés a) és
b) pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.

A Hatóság a bírság összegének meghatározása során súlyosbító körülményként vette figyelembe,
hogy az archivált e-mail-fiókok tárolása – benne a Kérelmező magáncélú levelezéseivel – hosszú
ideje, a Kérelmező foglalkoztatási jogviszonyának megszűnésétől, 2017. április 1. napjától tart, mely
időtartamból a Hatóság az általános adatvédelmi rendelet alkalmazásának kezdőnapjától, a 2018.
május 25. napjától kezdődő időszakot vette figyelembe [általános adatvédelmi rendelet 83. cikk (2)
bekezdés a) pont].

A Hatóság enyhítő körülményként vette figyelembe, hogy
1. a Kötelezett elmarasztalására az általános adatvédelmi rendelet megsértése miatt még nem
került sor [általános adatvédelmi rendelet 83. cikk (2) bekezdés e) pont];
2. bár az adatkezelésért, az adatvédelmi szabályokból eredő kötelezettségekért a Kötelezett
mint adatkezelő felelős, ugyanakkor a Kérelmező mint korábbi igazgató döntött az e-maileket
archiváló rendszer bevezetéséről, így elvárható lett volna tőle a rendszer jellemzőinek
ismerete [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont];
3. a Kérelmező foglalkoztatási jogviszonyának megszűnésekor lehetősége lett volna
postafiókjait karbantartani, törölni személyes levelezéseit, személyes adatait, tekintettel arra,
hogy legalább egy hónappal korábban tudta jogviszonya megszűnésének időpontját,
továbbá a jogviszonyának megszűnését követően egy hónapig még hozzáfért e-mail-
fiókjaihoz, így ezen időszak alatt is lépéseket tehetett volna magánlevelezései törlése
érdekében [általános adatvédelmi rendelet 83. cikk (2) bekezdés k) pont];
4. a Hatóság túllépte az ügyintézési határidőt [általános adatvédelmi rendelet 83. cikk (2)
bekezdés k) pont].

22

A Hatóság figyelembe vette továbbá, hogy a megállapított adatvédelmi jogsértések szándékosságra
utaló körülmények hiányában gondatlan jellegűnek minősülnek [általános adatvédelmi rendelet 83.
cikk (2) bekezdés b) pont].

A Hatóság figyelembe vette azt is, hogy az inaktivált e-mail-fiókokban személyes adatok különleges
kategóriái is megtalálhatóak voltak, azonban azokkal a Kötelezett a dokumentumkeresés célzott
jellegére tekintettel műveleteket nem végzett [általános adatvédelmi rendelet 83. cikk (2) bekezdés
g) pont].

A Hatóság a bírságkiszabás nem tartotta relevánsnak a GDPR 83. cikk (2) bekezdés c), d), f), h), i),
j) pontja szerinti körülményeket, mivel azok a konkrét ügy kapcsán nem is értelmezhetők.

A Kötelezett 2018. évi konszolidált beszámolója szerinti saját működési bevételeinek összege
nagyságrendileg 1,3 milliárd forint volt. A kiszabott adatvédelmi bírság jelképes összegű és nem lépi
túl a kiszabható bírság maximumát.

A Hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos
ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.

V. Egyéb kérdések:

A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország
egész területére kiterjed.

A határozat az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A határozat az Ákr. 82. §
(1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1) bekezdése,
illetve a 114. § (1) bekezdése alapján a határozattal szemben közigazgatási per útján van helye
jogorvoslatnak.

***

Az Ákr. 135. § (1) bekezdés a) pontja szerint a kötelezett a törvényes kamatnak megfelelő mértékű
késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget.

A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés
időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki
alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.

A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a
továbbiakban: Kp.) határozza meg. A Kp. 12. § (2) bekezdés a) pontja alapján a Hatóság döntésével
szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (11) bekezdése
alapján a Fővárosi Törvényszék kizárólagosan illetékes. A polgári perrendtartásról szóló 2016. évi
CXXX. törvénynek (a továbbiakban: Pp.) – a Kp. 26. § (1) bekezdése alapján alkalmazandó – 72. §-
a alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. § (6)
bekezdése szerint – ha törvény eltérően nem rendelkezik – a keresetlevél benyújtásának a
közigazgatási cselekmény hatályosulására halasztó hatálya nincs.

A Kp. 29. § (1) bekezdése és erre tekintettel a Pp. 604. § szerint alkalmazandó, az elektronikus
ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló 2015. évi CCXXII. törvény (a
továbbiakban: E-ügyintézési tv.) 9. § (1) bekezdés b) pontja szerint az ügyfél jogi képviselője
elektronikus kapcsolattartásra kötelezett.

23

A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás
tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A
közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban:
Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1)
bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.

Ha az előírt kötelezettsége teljesítését a Kötelezett megfelelő módon nem igazolja, a Hatóság úgy
tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kötelezett
a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság
határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a
értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést
hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet
vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az
állami adóhatóság foganatosítja. Az Infotv. 60. § (7) bekezdése alapján a Hatóság határozatában
foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy
abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság
foganatosítja.

Budapest, 2019. december 11.

Dr. Péterfalvi Attila
elnök
c. egyetemi tanár