Bűnügyi személyes adatok kezelése magánvádló által

Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.

A NAIH megállapította, hogy a magánvádló nem veheti át a bíróság szerepét, ha a bíróság nem jó címre kézbesíti az iratokat.

A Kérelmező azért fordult a Nemzeti Adatvédelmi és Információszabadság Hatósághoz, (NAIH) mert az Adatkezelő a Kérelmező bűnügyi személyes adatainak 2021. január 6-án, illetve a kérelem kiegészítése alapján 2021. június 11-én illetéktelen személyek részére történő megküldésével, illetve hozzáférhetővé tételével jogellenes adatkezelést valósított meg, megsértve ezzel az általános adatvédelmi rendelet 5. cikk (1) bekezdés a) és b) pontját, illetve a 9. cikk (1)-(2) bekezdéseiben foglaltakat.

Az Adatkezelő feljelentésével magánvádas büntetőeljárást kezdeményezett a Kérelmezővel mint magánszeméllyel szemben – aki a [Társaság] jogtanácsosa – a PKKB előtt. A Kérelmezett a feljelentésében előadta, hogy a Kérelmező a [Társaság] jogtanácsosaként illetéktelenül, ok nélkül adta át az ügy másik két terheltjének „szigorú magántitkát”, amely egy magánlevele volt a […] elnöke és alelnöke felé.

A feljelentés alapján büntetőeljárás indult magántitok megsértése miatt. A PKKB a büntetőeljárásról szóló 2017. évi XC. törvény 768. § (1) bekezdése alapján személyes meghallgatást tűzött ki, amelyre a Kérelmezőt feljelentettként kísérelte meg idézni. Tekintettel arra, hogy a PKKB nyilvántartásában téves cím szerepelt, az idézés Kérelmező részére történő kézbesítése sikertelen maradt, az „cím nem azonosítható” jelzéssel 2020. december 14-én a PKKB-hoz visszaküldésre került. A PKKB a Hatóság megkeresésére mellékelt tértivevény másolata alapján az idézést ismételten megkísérelte kézbesíteni a Kérelmezőnek egy másik címre.

Ennek kapcsán a Kérelmező hangsúlyozta, hogy a téves címet – […] – a Kérelmezett adta meg a feljelentésében a Kérelmező lakcímeként, holott a feljelentés megtételének időpontjában – 2020. április 1. – a Kérelmező új tartózkodási helyének címét a bárki számára ingyenesen elérhető cégnyilvántartás már tartalmazta.

Az Adatkezelő nyilatkozata szerint betekintett az általa kezdeményezett büntetőeljárás irataiba, ahol fényképfelvételt készített a Kérelmezőnek szóló idézésről és a felbontatlan borítékról. Miután az Adatkezelő így tudomást szerzett az idézés Kérelmező részére való kézbesítésének sikertelenségéről, az idézésről és a kézbesítetlen idézést tartalmazó borítékról készített fényképfelvételt e-mailben elküldte a[Társaság jogi képvieletét rendszeresen ellátó ügyvédi iroda ügyvédjének, a Társaság kamarai jogtanácsosának, a Társaság alkalmazottjának, a Társaság igazgatósági elnökének, a Társaság felügyelőbizottsági tagjának, valamint a Társaság alkalmazottjának.

A Kérelmező álláspontja szerint az idézésben foglaltakon túlmenően maga az e-mail is számos, a Kérelmezőre vonatkozó bűnügyi személyes adatot tartalmazott: „[Kérelmezőnek] egy magántitok megsértése miatti büntetőügy terheltjeként a PKKB-n […]-én […]-kor a […] tárgyalóban megjelenési kötelezettsége van.” Az Adatkezelő az e-mailben előadta, hogy azon okból küldi a levelet, hogy a Kérelmező „ne tudjon a büntetőjogi felelőssége alól kibújni, illetve ezt meg se kísérelhesse, továbbá a cél az is, hogy az eljárást [a Kérelmező] és a többi [Társaság]hoz kapcsolódó terhelt ne tudja elhúzni.”

Az egyik e-mail cím a Kérelmező szerint a Társaság központi e-mail címe, ezért ahhoz 142 fő fér hozzá tudomása szerint. A Társaság a NAIH megkeresésére válaszul előadta, hogy a nyilatkozattétel időpontjában az e-mail címhez 147-en fértek hozzá, de a létszám változó.

Az Adatkezelő arra hivatkozott, hogy az adatkezelése az Info tv. hatálya alá tartozik, mert a feljelentései alapján két magánvádas büntetőeljárás is folyamatban van a Kérelmezővel szemben, amelyben ő magánvádlóként jár el. A Be. 51. § (1) bekezdés i) pontja szerint a sértett jogosult arra, hogy magánvádlóként fellépjen. A Be. 37. §-a szerint a sértett, illetve a magánvádlóként fellépő sértett a büntetőeljárás részvevője szemben az ügyészséggel, nyomozóhatósággal, bírósággal. A Be. 762. § (3) bekezdése szerint a magánvádlót a sértett jogain kívül a vád képviseletével járó jogok illetik meg. Az önálló vádképviseleti jogok kizárólag az általa mint sértett által emelt vád tekintetében illetik meg a magánvádlót azzal, hogy az ügyész hatósági jogosítványait nem gyakorolhatja. A vád képviselőjeként a magánvádló a magánvádas eljárás Be.-ben szabályozott keretei között rendelkezik a váddal, és tölti be kizárólag ebben a tekintetben az ügyész szerepét. Az ügyész azonban a vád képviseletét a magánvádlótól bármikor át is veheti.

A NAIH döntése

A NAIH a Kérelmező kérelme alapján az adatkezelés jogszerűségének vizsgálatára adatvédelmi hatósági eljárást indított. A Kérelmező jogi képviselője útján  kiegészítette az adatvédelmi hatósági eljárás iránti kérelmét, mivel a kérelem NAIH-hoz való benyújtását követően az Adatkezelő a Kérelmező sérelmére újabb, a korábban kifogásolt magatartással jellegét tekintve egyező cselekményt valósított meg.

A magánvádló tehát vádat képviselő sértett hatósági jogkörök nélkül. A GDPR 2. cikk (2) bekezdés d) pontja kifejezetten úgy fogalmaz, hogy az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett adatkezelése nem tartozik a GDPR hatálya alá. Ahogyan arra a Fővárosi Törvényszék a 105.K.707.148/2020/15. számú ítéletének [22] bekezdésében rámutatott, ezt a „szabályt a GDPR kizárólag az illetékes hatóságokra vonatkoztatja, így nem esik e körbe az az adatkezelés, amelynek során a magánváló büntetőeljárás keretében csatol be bizonyítékot a hatóság (ügyészség vagy bíróság) részére.” A jelen ügyben a vizsgált adatkezelés természete nem egyezik meg a hivatkozott ítélet tényállásában foglalttal, azonban a Fővárosi Törvényszék ezen megállapítása a jelen ügyben is releváns.

A NAIH álláspontja szerint legfeljebb akkor minősülhetett volna a jelen eljárás tárgyává tett két e-mail elküldése személyes tevékenység keretében végzett adatkezelésnek, ha azt az Adatkezelő csak és kizárólag közvetlenül a Kérelmezőnek küldte volna meg. Tekintettel azonban arra, hogy mindkét e-mailt, illetve az azokban feltüntetett személyes, illetve bűnügyi személyes adatokat 7-7 embernek, valamint a Kérelmező munkáltatójának központi e-mail címre is elküldte, túlterjeszkedett a személyes tevékenység keretében végzett adatkezelés határain, így tevékenységére nem alkalmazható a GDPR 2. cikk (2) bekezdés c) pontja szerinti kivétel.

A NAIH megállapította, hogy az Adatkezelő mint magánvádló nem veheti át a bíróság helyét a magánvádas eljárásban keletkezett dokumentumok kézbesítése kapcsán, sikertelen kézbesítés esetén nem jogosult az iratokat önhatalmúlag informális módon harmadik személyekhez eljuttatni, hogy az hátha eljut az idézett személyhez, illetve ha sikerrel is jár az informális kézbesítés során, az abban az esetben sem minősül joghatályosnak, azaz az ilyen cselekmény során megvalósuló adatkezelés sem tekinthető jogszerűnek.

Ebből kifolyólag a NAIH szerint a Kérelmezett által megjelölt adatkezelési cél nem tekinthető jogszerűnek a Be. 98. § (3) bekezdése alapján, tehát megsértette a GDPR 5. cikk (2) bekezdése szerinti célhoz kötött adatkezelés elvét.

A NAIH álláspontja szerint a konkrét ügyben kizárólag az Adatkezelő jogos érdeke, azaz a GDPR 6. cikk (1) bekezdés f) pontja az a jogalap, amelynek alkalmazása szóba jöhet, figyelemmel arra is, hogy az adatkezelése céljaként az általa kezdeményezett büntetőeljárások elhúzódásának megelőzését jelölte meg. A GDPR 6. cikk (1) bekezdés f) pontja szerint a személyes adatok kezelése jogszerű, ha az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé. Kiemelten fontos, hogy az adatkezelő jogos érdekére hivatkozással sem jelenthet az adatkezelés aránytalan korlátozást az érintett jogaira és érdekeire nézve.

Mindezek alapján a Hatóság arra a megállapításra jutott, hogy a Kérelmezett nem rendelkezett a GDPR 6. cikk (1) bekezdése szerinti jogalappal sem az adatkezelésre, így annak vizsgálata, hogy a GDPR 9. cikk (2) bekezdése szerinti körülmények bármelyike fennállt-e, szükségtelen.

Mindezek alapján a Hatóság megállapítja, hogy a Kérelmezett jogellenesen, megfelelő jogalap hiányában továbbította a Kérelmező bűnügyi személyes adatait harmadik személyeknek, megsértve ezzel a GDPR 6. cikk (1) és a 9. cikk (1) bekezdéseit.

Hatóság álláspontja szerint – a Kérelmezett szándékának és motivációinak vizsgálata nélkül – az elküldött e-mailek, az azokban szereplő bűnügyi személyes adatok harmadik személyek részére való továbbítása ténylegesen alkalmas volt arra, hogy a Kérelmező megítélését a munkatársai előtt hátrányosan befolyásolja. Figyelemmel az előző bekezdésben foglaltakra, valamint arra, hogy a Kérelmezett jogszerű cél hiányában, jogalap nélkül kezelte a Kérelmező személyes adatai, a NAIH megállapítja, hogy megsértette a GDPR 5. cikk (1) bekezdés a) pontja szerinti jogszerű és tisztességes adatkezelés elvét.

A fentiekre tekintettel a NAIH 300.000,- Ft bírságot szabott ki az adatkezelőre.

(naih.hu)

---