Ügyszám: NAIH/2020/34/3. Tárgy: Kérelemnek részben
(NAIH/2019/7857) helyt adó határozat
A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) a […] a
továbbiakban: Kérelmező) kérelmére 2019. november 8. napján, […] a továbbiakban: Kérelmezett)
mint korábbi munkáltatója által biztosított munkahelyi e-mail-fiókjának 2018. évi archivált leveleihez
való hozzáférése tárgyában indult adatvédelmi hatósági eljárásban az alábbi döntéseket hozza:
I. A Hatóság
HATÁROZATÁBAN
I. 1. a Kérelmező kérelmének részben helyt adva megállapítja, hogy a Kérelmezett jogszerűtlenül
tagadta meg azt, hogy a Kérelmező hozzáférjen a 2018. évi archivált magáncélú leveleihez.
I. 2. hivatalból megállapítja, hogy a Kérelmezett nem segítette elő a Kérelmező hozzáférési
jogának gyakorlását, mivel nem nyújtott átlátható tájékoztatást részére a kérelme nyomán hozott
intézkedésekről.
I. 3. hivatalból utasítja a Kérelmezettet arra, hogy a jelen határozat véglegessé válásától számított
15 napon belül a Kérelmező bevonásával és tájékoztatásával vizsgálja felül, hogy a Kérelmező e-
mail-fiókja 2018. évi – és a Kérelmező kérelme szerint adott esetben a korábbi évek – archívumának
mely személyes adatai minősülnek magáncélúnak, és ezen magáncélú elektronikus levelekhez
biztosítsa a Kérelmező hozzáférését.
I. 4. elutasítja a Kérelmező kérelmének arra irányuló részét, mely szerint a Hatóság kötelezze a
Kérelmezettet arra, hogy adja ki részére a munkahelyi e-mail-fiókjának 2018. évi archivált,
munkavégzéssel összefüggő leveleit.
I. 5. a Kérelmezettet hivatalból
200 000 Ft, azaz kettőszázezer forint
adatvédelmi bírság
megfizetésére kötelezi.
II. A Hatóság
VÉGZÉSÉBEN
elrendeli 10 000 Ft-nak, azaz tízezer forintnak a Kérelmező részére való megfizetését az
ügyintézési határidő túllépése miatt – választása szerint – bankszámlára utalással vagy postai
utalvánnyal.
***
2
A Kérelmezettnek a I. 3. pontban előírt kötelezettségének teljesítését jelen döntés közlésétől
számított 30 napon belül kell írásban – az azt alátámasztó bizonyítékok előterjesztésével együtt –
igazolnia a Hatóság felé.
Az adatvédelmi bírságot jelen döntés véglegessé válásától számított 30 napon belül a Hatóság
központosított bevételek beszedése célelszámolási forintszámlája (10032000-01040425-00000000
Központosított beszedési számla IBAN: HU83 1003 2000 0104 0425 0000 0000) javára kell
megfizetni. Az összeg átutalásakor a NAIH/2020/200. BÍRS. számra kell hivatkozni.
Ha a Kérelmezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fenti
számlaszámra késedelmi pótlékot köteles fizetni. A késedelmi pótlék mértéke a törvényes kamat,
amely a késedelemmel érintett naptári félév első napján érvényes jegybanki alapkamattal egyezik
meg.
Az I. 3. pontban előírt kötelezettség, illetve az adatvédelmi bírság és a késedelmi pótlék meg nem
fizetése esetén a Hatóság elrendeli a határozat végrehajtását.
Jelen döntés I. pontja szerinti határozattal és II. pontja szerinti végzéssel szemben közigazgatási
úton jogorvoslatnak nincs helye, de az a közléstől számított 30 napon belül a Fővárosi
Törvényszékhez címzett keresetlevéllel közigazgatási perben megtámadható. A veszélyhelyzet a
keresetindítási határidőt nem érinti. A keresetlevelet a Hatósághoz kell benyújtani, elektronikusan,
amely azt az ügy irataival együtt továbbítja a bíróságnak. A tárgyalás tartása iránti kérelmet a
keresetlevélben jelezni kell. A teljes személyes illetékmentességben nem részesülők számára a
közigazgatási per illetéke 30.000 Ft, a per tárgyi illetékfeljegyzési jog alá esik. A Fővárosi
Törvényszék előtti eljárásban a jogi képviselet kötelező.
INDOKOLÁS
I. Az eljárás menete és a tényállás tisztázása
I. 1. A Kérelmező 2019. november 7. napján érkezett levelében kérelemmel fordult a Hatósághoz,
mely szerint hiába kérte a Kérelmezettől 2019. február 6. napján azt, hogy közalkalmazotti
jogviszonyának megszűnését követően hozzáférhessen munkahelyi e-mail fiókjának […] 2018. évi
archívumához, a Kérelmezett ezt megtagadta adatvédelmi okokra hivatkozva.
A Kérelmező kérte a Hatóságtól adatvédelmi hatósági eljárás megindítását a Kérelmezett ellen
elektronikus levelei, közülük is főként a vezetéssel folytatott hivatalos és félhivatalos archívumának
kiadására.
I. 2. A Hatóság az adatvédelmi hatósági eljárás megindításáról végzésében értesítette a
Kérelmezettet, és a tényállás tisztázása érdekében nyilatkozattételre és adatközlésre hívta fel.
A nyilatkozatok szerint a Kérelmező mint volt közalkalmazott és a Kérelmezett mint volt munkáltató
között közalkalmazotti jogviszony állt fenn, amelyet a munkáltató 2018. október 10. napján közölt
felmentéssel megszüntetett. A jogviszony megszűnésének napja 2019. február 9. napja volt. A
megszüntetést követően a Kérelmező 2018. november 9. napján közalkalmazotti jogviszony
jogellenes megszüntetésének jogkövetkezményei iránt munkaügyi pert indított a Kérelmezettel
szemben, mely perben hozott és a Hatóság részére megküldött első fokú ítélet elutasította a
Kérelmező keresetét.
3
A munkaügyi per ideje alatt, 2019. február 6. napján a Kérelmező kérelmet terjesztett elő, melyben
a Kérelmezettől a 2018. évi leveleit kívánta megkapni CD lemezen, annak érdekében, hogy a
munkaviszonyával összefüggésben végzett, kutatással kapcsolatos tudományos publikációkra,
közleményekre vonatkozó e-mailjeit megszerezhesse. A Kérelmező Kérelmezetthez intézett levele
szerint szüksége lett volna olyan, részben magánjellegű leveleire, amelyek tartalmazták bizonyos,
konferenciákra jelentkezéseinek azonosítóit, jelszavát, folyóiratokhoz beküldött jelszavát, beküldési
idejét, a folyóirat nevét, valamint különböző cégeknél az egyetemi képzésben használatos
segédanyagok pályázásával kapcsolatos személyeket, információkat. A Kérelmező Hatósághoz
intézett nyilatkozata szerint kifejezetten közleményekkel, illetve tudományos publikációkkal,
tudományos aktivitásával és szerződésekkel kapcsolatos leveleit kívánta megkapni, továbbá
kiadókkal folytatott olyan levelezéseket, amelyeket a Kérelmező nyilatkozata szerint a Kérelmezett
képviseletében kapott. A Kérelmező nyilatkozata szerint továbbá az általa elnyert pályázatokkal,
valamint a doktori képzéssel kapcsolatos levelekhez is hozzá kívánt férni.
A Kérelmező a Kérelmezett felé előterjesztett kérelmében arra is hivatkozott, hogy a tudományos
közlemények megjelenése a Kérelmezett érdeke, illetve az is érdeke, hogy a munkavégzésével
összefüggésben érkező levelek kollégákhoz történő eljuttatásáról is gondoskodnia kell.
A Kérelmező 2019. november 29. napján kelt nyilatkozata szerint az e-mail-fiók archívuma – bár
azok többségét törölte – kis számban tartalmazhat magáncélú leveleket. A Kérelmezetthez címzett
kérése főként a belső levelezéseire, a vezetéssel folytatott hivatalos és félhivatalos leveleire irányult.
A Hatóság ezzel kapcsolatban megjegyzi ugyanakkor, hogy a Kérelmező – ahogyan a Hatóságnak
nyilatkozott – a fenti indoktól eltérően a Kérelmező 2019. november 7. napján kelt kérelmének
melléklete szerinti másik nyilatkozata alapján a 2018. évi leveleit a közalkalmazotti jogviszonya
jogellenes megszüntetésének jogkövetkezményei iránt indult munkaügyi perében használná,
használta volna fel bizonyítékokként.
A Kérelmezett nem fogadta el a Kérelmező által előadott, az elektronikus leveleihez való
hozzáférésének indokait, mivel álláspontja szerint a Kérelmezettnek mint egyetemnek kell
gondoskodnia arról, hogy a volt közalkalmazottjának feladatait ki és milyen módon veszi át, így a
Kérelmezett oldalán nem áll fenn olyan érdek, amely azt indokolná, hogy a levelező fiókhoz újból
hozzáférhessen a Kérelmező mint volt közalkalmazott. Tekintettel arra, hogy a Kérelmező
közalkalmazotti jogviszonya megszűnt, így a Kérelmezett nyilatkozata szerint nem jelölhetné meg a
Kérelmezettet tudományos közleményeiben, így a Kérelmezett oldalán nem áll fenn olyan érdek,
amelyre a Kérelmező hivatkozott.
A Kérelmezett nyilatkozata szerint továbbá, bár a Kérelmező kérelmében – amennyiben a levelező
rendszerét magáncélból is használta – személyes adatok rendelkezésre bocsátását kérte, azonban
arra tekintettel, hogy munkaügyi per volt folyamatban, valamint, hogy a Kérelmezett nem tudta
beazonosítani azokat a személyes adatokat – például a tudományos közleményeket – amelyek
kiadását kérte a Kérelmező, az adatkezelő nem tudta teljesíteni kérelmét.
A Kérelmezett nyilatkozata szerint a Kérelmező közalkalmazotti jogviszonyának fennállása idején
nem volt semmilyen módon szabályozva az elektronikus levelezőrendszer magáncélú használata,
ezért azt a Kérelmező – annak nyilatkozatával megegyezően – magáncélra is használhatta, illetve
használta. Így, mivel nem volt erre vonatkozó megfelelő belső szabályozás, a Kérelmező nem kapott
külön tájékoztatást sem, azonban a […] Szervezeti és Működési Szabályzat II. kötet Foglalkoztatási
Követelményrendszerének 36. § (2) bekezdésének utolsó mondata alapján – tekintettel arra, hogy
a kinevezéskor valamennyi közalkalmazott nyilatkozik az Egyetem szabályzatainak ismeretéről és
kötelezettséget vállal azok megtartására – a Kérelmezőnek tudnia kellett, hogy a közalkalmazotti
jogviszonya megszűnésekor az e-mail-fiókjára való jogosultság is megszűnik.
4
A Kérelmezett kérte továbbá, hogy amennyiben az adatvédelmi hatósági eljárásban megállapításra
kerül, hogy a Kérelmezett jogsértést követett el, és a Hatóság álláspontja szerint bírság kiszabása
indokolt, a Hatóság vegye figyelembe, hogy a Kérelmezett az általános adatvédelmi rendelet
hatályba lépése óta első alkalommal követett el jogsértést, így a Kérelmezett elmarasztalására az
általános adatvédelmi rendelet megsértése miatt még nem került sor. A Kérelmezett az adatvédelmi
hatósági eljárásban vizsgált kérdéseket a jogsértés elkövetése óta teljes körűen, részletesen
szabályozta, alkalmazottait megfelelően tájékoztatta a megalkotott normáról, az elfogadott
adatkezelési és adatvédelmi szabályzatról, valamint a közalkalmazottakat tájékoztatta az e-mail-fiók
használata során történő adatkezelésről is. A Kérelmezett és a Kérelmező között munkaügyi per volt
folyamatban, amely miatt a Kérelmezett érdeke indokolta azt, hogy a Kérelmezett mint volt
közalkalmazott ne férjen hozzá a levelezéséhez, mivel így alkalma lett volna akár a perben
felhasználható bizonyítékok eltüntetésére is. A pertől függetlenül is az adatkezelő pénzügyi,
gazdasági érdeke és az üzleti titkainak védelme indokolta, hogy a Kérelmező közalkalmazotti
jogviszonyának megszűnése miatt külső személy ne ismerhessen meg semmilyen adatot.
A Kérelmezett nyilatkozata szerint a Kérelmező a Kérelmezetthez előterjesztett kérelmében az e-
mail-fiókjának újbóli megnyitását azzal indokolta, hogy egyetemi érdek áll a mögött, hogy az elérni
kívánt közleményeket (tudományos publikációkat) megjelentesse. Tekintettel azonban arra, hogy a
Kérelmező közalkalmazotti jogviszonya megszűnt, a jövőben megjelenő közleményein, tudományos
publikációin nem jelölheti meg a Kérelmezettet, így a Kérelmező által hivatkozott Kérelmezetti érdek
nem áll fenn. Ezen túlmenően a Kérelmezett álláspontja szerint a Kérelmezőtől észszerűen
elvárható volt, hogy rendelkezésére álljanak a közleményei más adathordozón is. Az általa
hivatkozott másik ok, mely szerint erre az e-mail-címére érkeznek a jogviszonyával, munkakörével
összefüggő különböző szoftverek, a Kérelmezett álláspontja szerint nem megfelelő indok, mivel
ezek a Kérelmezett tulajdonát képezik, amelyhez a Kérelmezőnek mint volt közalkalmazottnak már
semmilyen kötődése nincs. Az erre az e-mail-címre érkező, a Kérelmező mint volt közalkalmazott
jogviszonyával összefüggő leveleket a Kérelmezett megismerhette, az ezzel kapcsolatos
munkavégzésről gondoskodott.
A Kérelmezett kérte továbbá a Hatóságtól azt is, hogy vegye figyelembe, hogy a Kérelmező oldalán
nem merült fel semmilyen vagyoni, illetve nem vagyoni jellegű kár, továbbá, hogy a Kérelmező
jogviszonyának megszüntetésére felmentéssel került sor, amelyről négy hónappal a tényleges
megszűnés előtt tudomást szerzett, így volt lehetősége a magánlevelezését átirányítani, lementeni,
törölni vagy azokkal bármilyen más műveletet végezni. A Kérelmezett nyilatkozata szerint továbbá
teljes mértékben nyitott a Kérelmező magáncélú leveleinek átadására, amennyiben megjelöli azokat
az e-maileket, amelyekről érkezett és amelyekre elküldött levelek elküldését kéri, megjelölve azt,
hogy a teljes jogviszonya idejére, vagy egy meghatározott időszakra vonatkozó levelezést kéri
megismerni, illetve kiadni, továbbá megjelölve azt, hogy milyen adathordozón kéri az adatok
elküldését, illetve, hogy saját vagy más adatkezelő részére történjen az adatok továbbítása.
A Kérelmezett mindezt azonban a Hatóságnak nyilatkozta, a Kérelmezőnek a 2019. február 25.
napján küldött elektronikus levelében csupán arra hivatkozással tagadta meg a Kérelmezőnek azt,
hogy hozzáférjen 2018. évi archivált elektronikus leveleihez, hogy – idézve a Kérelmezett
adatvédelemmel foglalkozó munkatársát – „hacsak valami külön egyetemi érdek nem indokolja, nem
engedélyezhetünk ilyet. A […] nevében már nem jogosult eljárni, munkát végezni, így az egyetemi
munkavégzés körében végzett levelezése a […] tartozik. Az ilyen kiadása GDPR-tól függetlenül sem
működhetett, azóta meg még annyira.”
II. Alkalmazott jogszabályi rendelkezések
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az
ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló
5
(EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) 2. cikk (1) bekezdése
alapján a jelen ügy szerinti adatkezelésre az általános adatvédelmi rendeletet kell alkalmazni.
Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a
továbbiakban: Infotv.) 2. § (2) bekezdése szerint az általános adatvédelmi rendeletet az ott megjelölt
rendelkezésekben foglalt kiegészítésekkel kell alkalmazni.
Az Infotv. 60. § (1) bekezdése alapján a személyes adatok védelméhez való jog érvényesülése
érdekében a Hatóság erre irányuló kérelemre adatvédelmi hatósági eljárást indít és hivatalból
adatvédelmi hatósági eljárást indíthat. Az adatvédelmi hatósági eljárásra az általános közigazgatási
rendtartásról szóló 2016. évi CL. törvény (a továbbiakban: Ákr.) szabályait kell alkalmazni az Infotv.-
ben meghatározott kiegészítésekkel és az általános adatvédelmi rendelet szerinti eltérésekkel.
Az általános adatvédelmi rendelet 12. cikk (1)-(6) bekezdései szerint: „(1) Az adatkezelő megfelelő
intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére
vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti
minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan
és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ
esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat
is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon
igazolták az érintett személyazonosságát.
(2) Az adatkezelő elősegíti az érintett 15–22. cikk szerinti jogainak a gyakorlását. A 11. cikk (2)
bekezdésében említett esetekben az adatkezelő az érintett 15–22. cikk szerinti jogai gyakorlására
irányuló kérelmének a teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem
áll módjában azonosítani.
(3) Az adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől
számított egy hónapon belül tájékoztatja az érintettet a 15–22. cikk szerinti kérelem nyomán hozott
intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát,
ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az
adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon
belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást
lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.
(4) Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de
legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az
intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely
felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával
(5) A 13. és 14. cikk szerinti információkat és a 15–22. és 34. cikk szerinti tájékoztatást és
intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy
– különösen ismétlődő jellege miatt – túlzó, az adatkezelő, figyelemmel a kért információ vagy
tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre:
a) észszerű összegű díjat számíthat fel, vagy
b) megtagadhatja a kérelem alapján történő intézkedést.
A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.
(6) A 11. cikk sérelme nélkül, ha az adatkezelőnek megalapozott kétségei vannak a 15–21. cikk
szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett
személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.”
Az általános adatvédelmi rendelet 15. cikke értelmében: „(1) Az érintett jogosult arra, hogy az
adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése
folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes
adatokhoz és a következő információkhoz hozzáférést kapjon:
a) az adatkezelés céljai;
b) az érintett személyes adatok kategóriái;
6
c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat
közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a
nemzetközi szervezeteket;
d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges,
ezen időtartam meghatározásának szempontjai;
e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok
helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok
kezelése ellen;
f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
h) a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a
profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó
érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen
várható következményekkel jár.
(2) Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő
továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra
vonatkozóan a 46. cikk szerinti megfelelő garanciákról.
(3) Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett
rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív
költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta
be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre
bocsátani, kivéve, ha az érintett másként kéri.
(4) A (3) bekezdésben említett, másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások
jogait és szabadságait.”
Az általános adatvédelmi rendelet 23. cikk (1) bekezdése szerint: „Az adatkezelőre vagy
adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a
12-22. cikkben és a 34. cikkben foglalt, valamint a 12-22. cikkben meghatározott jogokkal és
kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és
kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok
lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy
demokratikus társadalomban:
a) nemzetbiztonság;
b) honvédelem;
c) közbiztonság;
d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve
büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni
védelmet és e veszélyek megelőzését;
e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az
Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a
költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot;
f) a bírói függetlenség és a bírósági eljárások védelme;
g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése
és az ezekkel kapcsolatos eljárások lefolytatása;
h) az a)-e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok
ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység;
i) az érintett védelme vagy mások jogainak és szabadságainak védelme;
j) polgári jogi követelések érvényesítése.”
Az általános adatvédelmi rendelet 58. cikk (2) bekezdése szerint: „A felügyeleti hatóság korrekciós
hatáskörében eljárva:
a) figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési
tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;
7
b) elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette
e rendelet rendelkezéseit;
c) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti
jogai gyakorlására vonatkozó kérelmét;
d) utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben
meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel;
e) utasítja az adatkezelőt, hogy tájékoztassa az érintettet az adatvédelmi incidensről;
f) átmenetileg vagy véglegesen korlátozza az adatkezelést, ideértve az adatkezelés megtiltását is;
g) a 16., 17., illetve a 18. cikkben foglaltaknak megfelelően elrendeli a személyes adatok
helyesbítését, vagy törlését, illetve az adatkezelés korlátozását, valamint a 17. cikk (2)
bekezdésének és a 19. cikknek megfelelően elrendeli azon címzettek erről való értesítését, akikkel
vagy amelyekkel a személyes adatokat közölték;
h) visszavonja a tanúsítványt vagy utasítja a tanúsító szervezetet a 42. és a 43. cikknek megfelelően
kiadott tanúsítvány visszavonására, vagy utasítja a tanúsító szervezetet, hogy ne adja ki a
tanúsítványt, ha a tanúsítás feltételei nem vagy már nem teljesülnek;
i) a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az
e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és
j) elrendeli a harmadik országbeli címzett vagy nemzetközi szervezet felé irányuló adatáramlás
felfüggesztését.”
Az általános adatvédelmi rendelet 83. cikk (2), (5) és (7) bekezdése alapján: „[…]
(2) A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének
a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor,
hogy szükség van-e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének
megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:
a) a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés
jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk
elszenvedett kár mértéke;
b) a jogsértés szándékos vagy gondatlan jellege;
c) az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése
érdekében tett bármely intézkedés;
d) az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25.
és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;
e) az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;
f) a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak
enyhítése érdekében folytatott együttműködés mértéke;
g) a jogsértés által érintett személyes adatok kategóriái;
h) az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy
az adatkezelő vagy az adatfeldolgozó jelentette-e be a jogsértést, és ha igen, milyen
részletességgel;
i) ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban
– elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó
intézkedéseknek való megfelelés;
j) az, hogy az adatkezelő vagy az adatfeldolgozó tartotta-e magát a 40. cikk szerinti jóváhagyott
magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz;
valamint
k) az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a
jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült
veszteség.
[…]
(5) Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20 000 000
EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes
8
éves világpiaci forgalmának legfeljebb 4 %-át kitevő összeggel kell sújtani, azzal, hogy a kettő közül
a magasabb összeget kell kiszabni:
a) az adatkezelés elvei – ideértve a hozzájárulás feltételeit – az 5., 6., 7. és 9. cikknek megfelelően;
b) az érintettek jogai a 12–22. cikknek megfelelően;
c) személyes adatoknak harmadik országbeli címzett vagy nemzetközi szervezet részére történő
továbbítása a 44–49. cikknek megfelelően;
d) a IX. fejezet alapján elfogadott tagállami jog szerinti kötelezettségek;
e) a felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának, illetve az adatkezelés átmeneti
vagy végleges korlátozására vagy az adatáramlás felfüggesztésére vonatkozó felszólításának be
nem tartása vagy az 58. cikk (1) bekezdését megsértve a hozzáférés biztosításának elmulasztása.
[…]
(7) A felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül,
minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami
székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható-e közigazgatási
bírság, és ha igen, milyen mértékű.”
Az Infotv. 75/A. § szerint „a Hatóság az általános adatvédelmi rendelet 83. cikk (2)-(6) bekezdésében
foglalt hatásköreit az arányosság elvének figyelembevételével gyakorolja, különösen azzal, hogy a
személyes adatok kezelésére vonatkozó - jogszabályban vagy az Európai Unió kötelező jogi
aktusában meghatározott - előírások első alkalommal történő megsértése esetén a jogsértés
orvoslása iránt - az általános adatvédelmi rendelet 58. cikkével összhangban - elsősorban az
adatkezelő vagy adatfeldolgozó figyelmeztetésével intézkedik.”
Az Infotv. 61. § (4) bekezdés b) pontja szerint: „A bírság mértéke százezertől húszmillió forintig
terjedhet, ha az adatvédelmi hatósági eljárásban hozott határozatban kiszabott bírság megfizetésére
kötelezett költségvetési szerv, az általános adatvédelmi rendelet 83. cikke szerint kiszabott bírság
esetén.”
III. Döntés
III. 1. Általános megjegyzések
Az általános adatvédelmi rendelet fogalommeghatározásai alapján a munkavállaló rendelkezésére
bocsátott munkahelyi e-mail-fiók adattartalma személyes adatnak, a személyes adaton elvégzett
bármely művelet pedig adatkezelésnek minősül. Ettől elkülönülő kérdés, hogy a személyes adatok,
illetve az adatkezelés kizárólag a munkavégzéssel, annak céljaival függ össze, vagy magáncélból
történik, amely az adatkezelő személyének, illetve az adatkezelés jogszerűségének megítélésekor
bírhat jelentőséggel.
Jelen ügyben a nyilatkozatok és a becsatolt dokumentumok alapján megállapítható, hogy a
Kérelmezettnél az elektronikus levelezőrendszer használata nem volt szabályozva, így a Kérelmező
használatában lévő, számára a Kérelmezett által biztosított úgynevezett „céges e-mail-fiókot” a
Kérelmező magáncélra is használta, azok magáncélú használata nem volt tiltott számára.
Abban az esetben, amikor a munkavállaló használja az e-mail-fiókot – függetlenül attól, hogy a
munkáltató egyébként megtiltja vagy engedélyezi a magáncélú használatot – az abban tárolt
személyes adatok tekintetében maga is adatkezelési tevékenységet végez.
Amennyiben az adatkezelés a munkavégzéssel összefügg, annak érdekében történik, a
munkavállaló lényegében a munkáltató mint adatkezelő nevében jár el, és e tevékenysége mint
adatkezelői tevékenység is a munkáltatónak tudható be. Az, hogy ez az adatkezelés a
9
munkavállalón kívüli személyek vonatkozásában mennyiben jogszerű, egy ettől függetlenül
elbírálandó kérdés, az esetleges jogszerűtlenségért való felelősség pedig függ attól, hogy a
munkáltató mint adatkezelő által eszközölt szükséges és megfelelő technikai, szervezési
intézkedések munkáltató általi be nem tartásáról vagy ezen intézkedések hiányából fakad azzal,
hogy a harmadik személyek tekintetében a vonatkozó polgári jogi szabályok szerint alapvetően a
munkáltató felelős.
A munkavállaló saját személyes adatai vonatkozásában addig, ameddig az adatkezelés a munka
végzésével összefüggésben történik, az adatkezelés jogalapja munkaviszony esetében
mindenekelőtt a munkaszerződés, és az adatkezelést ennek megfelelően kell megítélni. Abban az
esetben azonban, mint jelen ügyben is, amikor közérdekű feladatot ellátó szervről, adatkezelőről
van szó, az adatkezelés jogalapja ezen adatkezelés esetében az általános adatvédelmi rendelet 6.
cikk (1) bekezdés e) pontja szerinti jogalap, amely szerint a személyes adatok kezelése akkor
jogszerű, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány
gyakorlásának keretében végzett feladat végrehajtásához szükséges.
Abban az esetben ugyanakkor, amikor a munkavállaló a munkáltató által biztosított e-mail-fiókban
a munka végzésével össze nem függő – magáncélú – tevékenységet is folytat és ennek kapcsán a
saját és a legtöbb esetben más harmadik személyek személyes adatait kezeli, már nem ilyen
egyértelmű a helyzet. Ebben az esetben ugyanis az adatkezelés célját nem a munkáltató határozza
meg, hanem a munkavállaló, aki ezáltal adott esetben maga is adatkezelővé válik a harmadik
személyek személyes adatai tekintetében a munkavégzésével semmilyen módon össze nem függő
adatkezelés vonatkozásában. Ő dönt a személyes adatnak az e-mail-fiókba kerüléséről, és amíg a
birtokában, rendelkezése alatt van a fiók, addig dönthet annak törléséről, egyéb felhasználásáról.
Ugyanakkor ezen személyes adatok tekintetében is a rendszer működtetése továbbra is a
munkáltató feladata és hatásköre, és a személyes adatokat tároló e-mail-fiók feletti rendelkezési
jogát sem veszíti el a munkáltató, aki a magáncélú adatok tekintetében ezért adatkezelő marad.
A munkáltató adatkezelői minősége azért sem kérdőjelezhető meg ebben az esetben, mert a
magáncélú használat meg nem tiltásával valósul meg és ennek következtében kerülnek, kerülhetnek
az általa, a saját maga által meghatározott célú adatkezelésekhez alkalmazott e-mail-fiókba más,
munkavállalói célú adatkezeléssel összefüggésben személyes adatok, melyek egyrészt
ténylegesen a saját adatkezelései tekintetében is eljáró személyek révén kerülnek oda. Másrészt,
mivel az adatkezelés körülményei folytán ténylegesen lehetőség van olyan személyes adatok
kezelésére az e-mail-fiókban, amelyek az általa kontrollált célból történő adatkezeléssel semmilyen
kapcsolatot valójában nem mutatnak – ami egy munkahelyi e-mail-fiók vagy mobiltelefon esetében
szinte soha nem zárható ki, munkaeszközként biztosított egyéb számítástechnikai eszköz esetében
pedig bár elvárható lenne, az esetek többségében előfordulhat, arra elvárhatóan számítania kell a
munkáltatónak –, a saját adatkezelése vonatkozásában szükséges követelmények teljesítése
keretében végzett minden adatkezelési tevékenysége szükségszerűen kiterjed ezen adatokra is
(mindenekelőtt tárolja azokat), és a saját adatkezelése jogszerűsége biztosításához
elengedhetetlen feladatai ellátása keretében hozzáfér ezen személyes adatokhoz.
Megjegyzendő még, hogy amíg a munkavállaló tekintetében az is előfordulhat, hogy az ilyen, az e-
mail-fiókban valójában kizárólag az ő magánérdekéből, azaz magáncélból tárolt adatok kezelése –
mint kizárólag személyes vagy otthoni tevékenység keretében végzett adatkezelés – kívül esik az
általános adatvédelmi rendelet alkalmazási körén, a munkáltató esetén ez nem fordulhat elő. Az
ilyen esetekben tehát egy igen sajátos együttes adatkezelési helyzet áll elő, amely esetben a
munkáltató mindenképpen adatkezelőnek minősül, a munkavállaló pedig – jogi értelemben
legalábbis – nem feltétlenül.
A fentiek mellett fontos továbbá, hogy a munkáltató és a munkavállaló közötti jogviszonyból adódóan
a munkáltatóé az adatkezelés jogszerűségéért való elsődleges felelősség, hiszen az ő számára
10
állnak elsődlegesen rendelkezésre azok az eszközök (belső szabályozási és technikai operatív
intézkedések), amelyekkel a jogszerűség biztosítható. Így az ő felelőssége e helyzet felismerése,
és megfelelő munkáltatói intézkedésekkel ennek kezelése, így közös adatkezelés esetén az
adatkezelés részleteiről való megállapodás, az adatkezeléssel összefüggő felelősségi viszonyoknak
a szabályozása is (lényegében az általános adatvédelmi rendelet 26. cikkének megfelelően).
A fentiek fényében kell megítélni azon munkavállaló személyes adatainak a munkáltatója általi
kezelését is, aki – amellett hogy munkahelyi célból használja az e-mail-fiókot – magáncélból is
igénybe veszi a munkáltatója által biztosított e-mail-fiókot.
Az ilyen helyzetekben az adatkezelés jogszerűségét, az adatvédelmi követelményeknek való
megfelelőségét e tekintetben a fentieknek megfelelően kell megítélni.
III. 2. A Kérelmező hozzáférési joga
Az általános adatvédelmi rendelet 15. cikk (1) bekezdése szerinti hozzáférési jog alapján az érintett
jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes
adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy
a személyes adataihoz és az adatkezelésre vonatkozó információkhoz hozzáférést kapjon.
Az adatkezelésre vonatkozó információk megadásának módjával kapcsolatban az adatkezelői
kötelezettségeket az általános adatvédelmi rendelet 12. cikke részletezi. Ez alapján a személyes
adatokról a tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és
közérthetően megfogalmazva kell megadni. Az információkat írásban vagy más módon kell
megadni.
Az általános adatvédelmi rendelet 12. cikkének (3) bekezdése alapján az adatkezelő indokolatlan
késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül
köteles tájékoztatást nyújtani a személyes adatokhoz való hozzáférés iránti kérelem alapján hozott
intézkedéseiről. Szükség esetén ez a határidő további két hónappal hosszabbítható meg, mely
meghosszabbítás tényéről és a késedelem okairól a kérelem kézhezvételétől számított egy hónapon
belül kell tájékoztatást nyújtania az adatkezelőnek.
Az általános adatvédelmi rendelet 12. cikkének (4) bekezdése értelmében, ha az adatkezelő a
kérelem nyomán nem tesz intézkedést, akkor késedelem nélkül, de legkésőbb a kérelem
beérkezésétől számított egy hónapon belül köteles tájékoztatni az érintettet az intézkedés
elmaradásának az okairól, valamint arról, hogy az érintett panasszal fordulhat a Hatósághoz, illetve
élhet bírósági jogorvoslati jogával.
Az általános adatvédelmi rendelet 12. cikkének (5) bekezdése szerint az érintetti jogokkal
kapcsolatos kérelmeket, így a személyes adatokhoz való hozzáférés iránti kérelem nyomán hozott
intézkedést és az arról való tájékoztatást alapvetően díjmentesen kell biztosítani. Ha az érintett
kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az
adatkezelő, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés
meghozatalával járó adminisztratív költségekre, észszerű összegű díjat számíthat fel, vagy
megtagadhatja a kérelem alapján történő intézkedést. A kérelem egyértelműen megalapozatlan
vagy túlzó jellegének bizonyítása azonban az adatkezelőt terheli.
Az általános adatvédelmi rendelet 23. cikke határozza meg továbbá azon speciális eseteket, melyek
fennállása esetén korlátozhatóak az érintetti jogok, így a hozzáféréshez való jog.
11
Hangsúlyozandó, hogy az érintett a hozzáféréshez való joga keretében kizárólag személyes
adataihoz férhet hozzá. A Hatóság jelen határozat III. 1. pontjában megállapította, hogy a
munkavállaló rendelkezésére bocsátott munkahelyi e-mail-fiók adattartalma bár személyes adatnak
minősül, ettől elkülönülő kérdés az, hogy a személyes adatok, illetve az adatkezelés kizárólag a
munkavégzéssel, annak céljaival függ össze, vagy magáncélból történik, mivel a munkavégzéssel
összefüggő levelek mint adott esetben üzleti titkokat is tartalmazó levelek védelemben részesülnek,
ezért abban az esetben, amikor az érintett foglalkoztatási jogviszonya megszűnik, a teljes e-mail-
levelezése nem adható ki számára.
Ez következik az általános adatvédelmi rendelet (63) preambulumbekezdéséből is, melynek
értelmében a hozzáféréshez való jog nem érintheti hátrányosan mások jogait és szabadságait,
beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító
szerzői jogokat. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan,
kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely
információkra vagy mely adatkezelési tevékenységekre vonatkozik.
Jelen ügyben a Kérelmező akkor kívánt hozzáférni személyes adataihoz, az e-mail-fiókja teljes,
2018. évi archívumához CD lemezen keresztül, amikor már megszűnt a jogviszonya a
Kérelmezettel. Ebből az archívumból kívánt hozzáférni a – nyilatkozatai szerint is – alapvetően
munkavégzéssel összefüggő leveleihez. Ezen belül szüksége lett volna olyan, részben
magánjellegű leveire, amelyek tartalmazták bizonyos, konferenciákra jelentkezéseinek azonosítóit,
jelszavát, folyóiratokhoz beküldött jelszavát, beküldési idejét, a folyóirat nevét, valamint különböző
cégeknél az egyetemi képzésben használatos segédanyagok pályázásával kapcsolatos
személyeket, információkat. Ezeken kívül kifejezetten bizonyos közleményekkel, illetve tudományos
publikációkkal, tudományos aktivitásával és szerződésekkel kapcsolatos leveleit kívánta megkapni,
továbbá kiadókkal folytatott olyan levelezéseket, amelyeket a Kérelmezett képviseletében kapott,
továbbá az általa elnyert pályázatokkal, valamint a doktori képzéssel kapcsolatos levelekhez is
hozzá kívánt férni. Azt azonban nem határozta meg, hogy ezen belül pontosan mely elektronikus
leveleire van szüksége.
A Hatóság álláspontja szerint ebben az esetben a Kérelmezett jogszerűen tagadhatta meg a
Kérelmező hozzáférését elektronikus leveleinek teljes 2018. évi archívumához, hiszen figyelemmel
az általános adatvédelmi rendelet (63) preambulumbekezdésére is, a Kérelmező oldaláról a
jogviszonya megszűnését követően már nem azonosítható olyan jogszerű cél vagy érdek, amely
alapján munkavégzéssel összefüggő adatokat, információkat, adott esetben a munkáltató üzleti
titkait tartalmazó leveleihez való hozzáférését tenné lehetővé. A Hatóság álláspontja szerint ebbe a
körbe tartoznak a Kérelmező által kért közlemények, illetve tudományos publikációk, tudományos
aktivitásával és szerződésekkel kapcsolatos, munkavégzéssel összefüggésben keletkezett levelei.
Ilyen levelezések továbbá kiadókkal folytatott levelezések, amelyeket a Kérelmező nyilatkozata
szerint a Kérelmezett képviseletében kapott.
Mindez nem jelenti azonban azt, hogy a Kérelmező ne férhetett volna hozzá a magáncélú leveleihez.
Az, hogy a teljes 2018. évi leveleihez kívánt hozzáférni, magában foglalja a magáncélú leveleihez
való hozzáférést is. A Kérelmezett azonban semmilyen intézkedést nem tett annak érdekében, hogy
a Kérelmező ezen leveleihez hozzá tudjon férni. A Kérelmezett és a Kérelmező közötti
levelezésekből megállapítható, hogy a Kérelmezett a 2019. február 25. napján küldött elektronikus
levelében arra hivatkozással tagadta meg a Kérelmezőnek azt, hogy hozzáférjen 2018. évi archivált
elektronikus leveleihez, hogy „hacsak valami külön egyetemi érdek nem indokolja, nem
engedélyezhetünk ilyet. A […] nevében már nem jogosult eljárni, munkát végezni, így az egyetemi
munkavégzés körében végzett levelezése a […] tartozik. Az ilyen kiadása GDPR-tól függetlenül sem
működhetett, azóta meg még annyira.”
12
Az általános adatvédelmi rendelet (63) preambulumbekezdéséből következően egy munkahelyi e-
mail-fiók olyan nagy mennyiségű be- és kimenő levelet tartalmaz, tartalmazhat, hogy az
adatkezelőtől, jelen ügyben Kérelmezettől nem lehetett elvárni, hogy a Kérelmező által tágan
meghatározott témájú leveleket maga válogassa le és küldje el számára. A teljes archívumhoz
pedig, a fent kifejtettek szerint a Kérelmező a jogviszonyának megszűnésére tekintettel nem férhet
hozzá. Ugyanakkor éppen ezen körülményekre tekintettel kellett volna a Kérelmezettnek olyan, jelen
határozat III. 3. pontjában részletezett intézkedéseket hoznia, hogy a Kérelmező megkaphassa
magáncélú leveleit.
Tekintettel azonban arra, hogy a Kötetezett nem tette lehetővé azt, hogy a Kérelmező hozzáférjen
magáncélú 2018. évi elektronikus leveleihez, a Hatóság megállapítja, hogy a Kérelmezett
megsértette az általános adatvédelmi rendelet 15. cikkét.
III. 3. A Kérelmező hozzáférési jogával összefüggő intézkedések és átláthatósági követelmények
Az érintetti jogok gyakorlására vonatkozó kérelmek teljesítése során az adatkezelőnek az általános
adatvédelmi rendelet 12. cikke alapján átlátható tájékoztatást kell nyújtania a kérelmek alapján
hozott intézkedésekről.
Jelen ügyben a Kérelmezett tehát azért tagadta meg a Kérelmezőnek azt, hogy hozzáférjen 2018.
évi archivált elektronikus leveleihez, hogy jogviszonya megszűnését követően a […] nevében már
nem jogosult eljárni, munkát végezni, így az egyetemi munkavégzés körében végzett levelezése a
[…] tartozik.
A Hatóság jelen határozat III. 2. pontjában megállapította, hogy a Kérelmezett ezen okra hivatkozva
jogszerűtlenül nem teljesítette a Kérelmező hozzáférési jogára irányuló kérelmét, megsértve ezzel
az általános adatvédelmi rendelet 15. cikkét.
A Hatóság álláspontja szerint azonban a Kérelmező kérelmére nyújtott ezen tájékoztatás nem felel
meg az átláthatósági követelményeknek sem. A Hatóság álláspontja szerint az felelt volna meg az
átláthatósági követelményeknek és az lett volna megfelelő intézkedés, ha a Kérelmezett mindarról
tájékoztatta volna a Kérelmezőt, amelyről a Hatóságnak is nyilatkozott a tényállás tisztázása során.
Azaz arról, hogy tekintettel arra, hogy a Kérelmező közalkalmazotti jogviszonya megszűnt, a jövőben
megjelenő közleményein, tudományos publikációin nem jelölheti meg a Kérelmezettet, így a
Kérelmező által hivatkozott kérelmezetti érdek nem áll fenn arra vonatkozóan, hogy kiadja – akár
másolatban – a Kérelmező részére az e-mail-fiókja 2018. évi teljes archívumát, azonban teljes
mértékben nyitott a Kérelmező magáncélú leveleinek átadására, amennyiben megjelöli azokat a
konkrét e-maileket, amelyekre szüksége van, továbbá megjelölve azt, hogy milyen adathordozón
kéri az adatok elküldését.
Ez megvalósulhat akár a Kérelmező által felvetett módon, amely szerint egy tartalomjegyzék alapján
kiválogatja, mely elektronikus leveleire lenne szüksége, vagy például ahogyan azt a Hatóság több
döntésében kifejtette: a Kérelmező és a Kérelmezett által folytatott, a magáncélú és a
munkavégzéséi célú levelek közös leválogatása útján. Ez által megvalósulhatna az, hogy a
Kérelmező valóban csak olyan magáncélú leveleihez férjen hozzá, amelyekkel nem sérti a
Kérelmezett érdekeit.
Tekintettel tehát arra, hogy a Kérelmezett – az általános adatvédelmi rendelet 12. cikk (1) bekezdése
alapján – nem nyújtott megfelelő és átlátható tájékoztatást arról, hogy miként tudja adott esetben
teljesíteni a Kérelmező magáncélú leveleihez való hozzáférését, és miért utasította el 2019. február
6. napján előterjesztett kérelmét, a Hatóság megállapítja, hogy a Kérelmezett megsértette az
13
általános adatvédelmi rendelet 12. cikk (2) bekezdését, mivel nem segítette elő a Kérelmező
hozzáférési jogának a gyakorlását.
III. 4. Jogkövetkezmények
A Hatóság a Kérelmező kérelmének helyt adva megállapította, hogy a Kérelmezett jogszerűtlenül
tagadta meg azt, hogy a Kérelmező hozzáférjen a 2018. évi archivált magáncélú leveleihez,
megsértve ezzel az általános adatvédelmi rendelet 15. cikkét.
A Hatóság hivatalból megállapította, hogy a Kérelmezett nem segítette elő a Kérelmező hozzáférési
jogának gyakorlását, mivel nem nyújtott átlátható tájékoztatást részére a kérelme nyomán hozott
intézkedésekről, megsértve ezzel az általános adatvédelmi rendelet 12. cikk (1)-(2) bekezdését.
A Hatóság az általános adatvédelmi rendelet 58. cikk (2) bekezdés c) pontja alapján hivatalból
utasítja a Kérelmezettet arra, hogy a jelen határozat véglegessé válásától számított 15 napon belül
a Kérelmező bevonásával és tájékoztatásával vizsgálja felül, hogy a Kérelmező e-mail-fiókja
archívumának mely személyes adatai minősülnek magáncélúnak, és ezen magáncélú elektronikus
levelekhez biztosítsa a Kérelmező hozzáférését.
A Hatóság elutasította a Kérelmező kérelmének arra irányuló részét, mely szerint a Hatóság
kötelezze a Kérelmezettet arra, hogy adja ki részére a munkahelyi e-mail-fiókjának 2018. évi
archivált, munkavégzéssel összefüggő leveleit.
A Hatóság hivatalból megvizsgálta továbbá, hogy indokolt-e a Kérelmezettel szemben adatvédelmi
bírság kiszabása. E körben a Hatóság az általános adatvédelmi rendelet 83. cikk (2) bekezdése és
az Infotv. 75/A. §-a alapján mérlegelte az ügy összes körülményét és megállapította, hogy a jelen
eljárás során feltárt jogsértések esetében a figyelmeztetés nem arányos szankció, ezért bírság
kiszabása szükséges.
A Hatóság a bírság összegének meghatározása során mindenekelőtt figyelembe vette, hogy a
Kérelmezett által elkövetett jogsértések az általános adatvédelmi rendelet 83. cikk (5) bekezdés b)
pontja szerint a magasabb összegű bírságkategóriába tartozó jogsértésnek minősülnek.
A Hatóság a bírság összegének meghatározása során súlyosító körülményként vette figyelembe,
hogy a Kérelmezett a Kérelmező hozzáférési jogára irányuló kérelmére adott nem megfelelő
tájékoztatásával akadályozta a Kérelmező érintetti jogának a gyakorlását. [általános adatvédelmi
rendelet 83. cikk (2) bekezdés a) és k) pont]. E körben értékelte a jogsértés és az adatkezelés jellege
kapcsán, hogy az érintetti jog gyakorlására korábbi munkaviszonyt érintően került volna sor.
A Hatóság súlyosító körülményként vette figyelembe, hogy a Kérelmezett kifejezetten elzárta a
Kérelmezőt az érintetti joga gyakorlásától azzal, hogy nem tette lehetővé azt, hogy a Kérelmező
hozzáférjen magáncélú 2018. évi elektronikus leveleihez [általános adatvédelmi rendelet 83. cikk (2)
bekezdés c) és d) pont].
A Hatóság enyhítő körülményként vette figyelembe, hogy a Kérelmezett elmarasztalására az
általános adatvédelmi rendelet megsértése miatt még nem került sor [általános adatvédelmi rendelet
83. cikk (2) bekezdés e) pont].
A Hatóság a bírságkiszabás megállapítása során nem tartotta relevánsnak az általános adatvédelmi
rendelet 83. cikk (2) bekezdés b), f), g), h), i), j) pontja szerinti körülményeket, mivel azok a konkrét
ügy kapcsán nem értelmezhetők.
14
A fenti súlyosító és enyhítő körülményeket figyelembe véve a Hatóság a bírság mértékét a
bírságminimumhoz közeli összegben állapította meg. A Hatóság nyomatékosan figyelembe vette az
enyhítő körülményeket, mivel álláspontja szerint a Kérelmezett esetében ezzel is érvényre lehet
juttatni a megtörtént adatvédelmi jogsértés miatt a generális és speciális prevenció céljait.
A Kérelmezett 2018. évi beszámolója szerinti eredménykimutatása alapján a bevétele
nagyságrendileg 6500 millió forint volt, így a kiszabott adatvédelmi bírság nem lépi túl a kiszabható
bírság maximumát.
III. 5. Ügyintézési határidő túllépése
A hatóság az eljárás során túllépte az Infotv. 60/A.§ (1) bekezdése szerinti százhúsz napos
ügyintézési határidőt, ezért az Ákr. 51. § b) pontja alapján tízezer forintot fizet a Kérelmezőnek.
IV. Egyéb kérdések:
A Hatóság hatáskörét az Infotv. 38. § (2) és (2a) bekezdése határozza meg, illetékessége az ország
egész területére kiterjed.
A Hatóság jelen döntése az Ákr. 80-81. §-án és az Infotv. 61. § (1) bekezdésén alapul. A döntés az
Ákr. 82. § (1) bekezdése alapján a közlésével véglegessé válik. Az Ákr. 112. §-a, és 116. § (1)
bekezdése , illetve a 114. § (1) bekezdése alapján a döntéssel szemben közigazgatási per útján van
helye jogorvoslatnak.
***
Az Ákr. 135. § (1) bekezdés a) pontja szerint a Kérelmezett a törvényes kamatnak megfelelő mértékű
késedelmi pótlékot köteles fizetni, ha pénzfizetési kötelezettségének határidőben nem tesz eleget.
A Ptk. 6:48. § (1) bekezdése alapján pénztartozás esetén a kötelezett a késedelembe esés
időpontjától kezdődően a késedelemmel érintett naptári félév első napján érvényes jegybanki
alapkamattal megegyező mértékű késedelmi kamatot köteles fizetni.
A közigazgatási per szabályait a közigazgatási perrendtartásról szóló 2017. évi I. törvény (a
továbbiakban: Kp.) határozza meg. A Kp. 12. § (1) bekezdése alapján a Hatóság döntésével
szembeni közigazgatási per törvényszéki hatáskörbe tartozik, a perre a Kp. 13. § (3) bekezdés a)
pont aa) alpontja alapján a Fővárosi Törvényszék kizárólagosan illetékes. A Kp. 27. § (1) bekezdés
b) pontja alapján a törvényszék hatáskörébe tartozó perben a jogi képviselet kötelező. A Kp. 39. §
(6) bekezdése szerint a keresetlevél benyújtásának a közigazgatási cselekmény hatályosulására
halasztó hatálya nincs.
A Kp. 29. § (1) bekezdése és erre tekintettel a polgári perrendtartásról szóló 2016. évi CXXX. törvény
604. § szerint alkalmazandó, az elektronikus ügyintézés és a bizalmi szolgáltatások általános
szabályairól szóló 2015. évi CCXXII. törvény 9. § (1) bekezdés b) pontja szerint az ügyfél jogi
képviselője elektronikus kapcsolattartásra kötelezett.
A keresetlevél benyújtásának idejét és helyét a Kp. 39. § (1) bekezdése határozza meg. A tárgyalás
tartása iránti kérelem lehetőségéről szóló tájékoztatás a Kp. 77. § (1)-(2) bekezdésén alapul. A
közigazgatási per illetékének mértékét az illetékekről szóló 1990. évi XCIII. törvény (továbbiakban:
Itv.) 45/A. § (1) bekezdése határozza meg. Az illeték előzetes megfizetése alól az Itv. 59. § (1)
bekezdése és 62. § (1) bekezdés h) pontja mentesíti az eljárást kezdeményező felet.
15
A veszélyhelyzet ideje alatt érvényesülő egyes eljárásjogi intézkedésekről szóló 74/2020. (III. 31.)
Korm. rendelet 35. §-a szerint a veszélyhelyzet a határidők, így a keresetindítási határidő folyását
nem érinti.
Ha az előírt kötelezettsége teljesítését a Kérelmezett megfelelő módon nem igazolja, a Hatóság úgy
tekinti, hogy a kötelezettséget határidőben nem teljesítette. Az Ákr. 132. §-a szerint, ha a Kérelmezett
a hatóság végleges döntésében foglalt kötelezésnek nem tett eleget, az végrehajtható. A Hatóság
határozata az Ákr. 82. § (1) bekezdése szerint a közléssel véglegessé válik. Az Ákr. 133. §-a
értelmében a végrehajtást – ha törvény vagy kormányrendelet másként nem rendelkezik – a döntést
hozó hatóság rendeli el. Az Ákr. 134. §-a értelmében a végrehajtást – ha törvény, kormányrendelet
vagy önkormányzati hatósági ügyben helyi önkormányzat rendelete másként nem rendelkezik – az
állami adóhatóság foganatosítja. Az Infotv. 61. § (7) bekezdése alapján a Hatóság határozatában
foglalt, meghatározott cselekmény elvégzésére, meghatározott magatartásra, tűrésre vagy
abbahagyásra irányuló kötelezés vonatkozásában a határozat végrehajtását a Hatóság
foganatosítja.
Budapest, 2020. június 8.
Dr. Péterfalvi Attila
elnök
c. egyetemi tanár