Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.
Az Eger Megyei Jogú Város Polgármesteri Hivatalban iratselejtezés során előkerült, személyes adatokat tartalmazó dokumentumoknak az Egri Ügyek Hírportál szerkesztőségének történő továbbításával megvalósuló adatkezeléssel a NAIH szerint a Hírportál jogalap nélkül nagy nyilvánosság előtt hozzáférhetővé tette a személyes adatokat tartalmazó fényképfelvételeket, amellyel megsértette a GPDR 6. cikkét.
A NAIH bejelentésből értesült arról, hogy Eger Megyei Jogú Város Polgármesteri Hivatalában (Hivatal) iratselejtezés során előkerült, személyes adatokat tartalmazó dokumentumokat az egri polgármester továbbította az Egri Ügyek Hírportálnak (Hírportál). A Hírportál oldalán 2020. január 30-án egy cikk jelent meg „Listázta a Fidesz Eger lakosságát Nyitrai Zsolt kampányában – Mutatjuk a bizonyítékokat” címmel. A cikkben az előkerült dokumentumokról készült képfelvételek is szerepelnek, amelyen a személyes adatok láthatóan a képek szerkesztésével kerültek kitakarásra.
A Hírportál oldalán megjelent továbbá az üggyel kapcsolatban egy másik cikk is „Választási listabotrány Egerben: Oroján közleményben tagad, Nyitrai nem reagál” címmel, amely cikk – Dr. Nyitrai Zsolt ajánlóíveiről közzétett képfelvételek kíséretében – legelőször az alábbi tartalommal jelent meg: „Egy rakat dokumentumot mutattunk be listázásról, választók értékeléséről és ami a legfontosabb, Nyitrai Zsolt lefénymásolt választási aláírásgyűjtő íveiről. Íme (a személyes adatokat mi takartuk ki):” A cikkből ezt követően az arra való utalás, hogy a személyes adatok kitakarását a szerkesztőség végezte, eltávolításra került.
A Hírportál főszerkesztője a NAIH-nak megküldött válaszlevelében előadta, hogy 2020. január 29-én kapott jelzést az önkormányzat egyik dolgozójától, hogy fontos témát találtak a Hivatalban, ezért menjen be, mert érdekes lehet média szempontból. Személyesen be is ment, ahol Eger Megyei Jogú Város polgármestere és jegyzője fogadták. Egy laptopon mutatták meg a főszerkesztőnek azokat a képeket, amelyek később a Hírportál oldalán is megjelentek. Eleve kitakart képeket látott, és azokat egy pendrive-ra másolták. Minderről egy feljegyzés is készült, amelynek másolatát csatolta is a NAIH-nak küldött válaszlevélhez.
A feljegyzés 2020. január 29-én 10 óra 30 perckor készült Eger Megyei Jogú Város Polgármesteri Hivatalának jegyzői irodájában az iratselejtezés során talált iratokról készült másolatok készítéséről. A feljegyzésben foglaltak szerint az alpolgármester irodában talált iratokról 2020. január 29-én 10 óra 30 perckor fényképfelvételt készített a polgármester és a jegyző, amely fényképekről a személyes adatokat digitális úton kitakarták. Az eredeti felvételeket a feljegyzés szerint végleges törléssel megsemmisítették, és a személyes adatok nélküli felvételeket adták át a Hírportál főszerkesztőjének pendrive-on.
A NAIH azon kérdésére, hogy a cikkben megjelent képeket ki készítette a Hírportál főszerkesztője előadta, hogy nincs tudomása arról, hogy a képeket ki készítette. A személyes adatok kitakarása feltételezése szerint valamilyen szoftverrel készülhetett.
A NAIH a Hivatalhoz intézett megkeresésében tájékoztatást kért arról, hogy az iratselejtezés során a Hivatal helyiségében milyen dokumentumok kerültek elő; a dokumentumokat, illetve azok tartalmát kik ismerték meg, azokhoz kik férhettek hozzá; milyen biztonsági intézkedéseket hozott a Hivatal annak érdekében, hogy az előkerült, személyes adatokat tartalmazó dokumentumokhoz azt követően illetéktelen személyek ne férhessenek hozzá; a Hírportálnak történő adattovábbítás milyen jogalap alapján és milyen célból történt; ki továbbította a dokumentumokat a Hírportálnak, valamint az adattovábbításra milyen módon került sor és a dokumentumokat milyen formában továbbították a Hírportál részére.
A Hivatal válaszlevelében foglaltak szerint az iratselejtezés során az alábbi típusú iratok kerültek elő:
A Hivatal tájékoztatása szerint az iratselejtezés során talált dokumentumokat és azok tartalmát az iratselejtezést végző bizottság tagjai, a polgármester és a jegyző ismerhette meg. A dokumentumok megtalálását követően azokat először a jegyző őrizte, azokhoz más személy a rendőrségi lefoglalásig nem férhetett hozzá. Amint egyértelművé vált, hogy a megtalált iratok személyes adatokat tartalmaznak és azok a rendőrségi feljelentés megtételét, valamint adatvédelmi incidens bejelentését is megalapozhatják, a jegyző gondoskodott az iratok elzárásáról, így azokhoz kizárólag ő férhetett hozzá. Az iratok, valamint a személyes adatok és az érintettek körének megvizsgálását követően egy használaton kívüli irodában zárható szekrényben elzárták az iratokat, így azokhoz illetéktelen személyek a rendőrségi lefoglalásig nem férhettek hozzá.
A Hivatal nyilatkozata szerint a Hírportál részére személyes adatok továbbítására nem került sor. A személyes adatok kitakarását a jegyző végezte el a polgármester jelenlétében oly módon, hogy – mivel a Hivatal fénymásolója a szkennelt dokumentumokat belső hálózatra másolja vagy a hivatali e-mail címre küldi, ezért az iratok jellegére tekintettel ezt a jegyző kockázatosnak találta – digitális fényképezőgéppel elektronikus másolatot készített. A fényképeket hálózatra nem kötött számítógépre másolta, amelyen elvégezte a személyes adatok felismerhetetlenné tételét, ezt követően mind a fényképezőgép, mind a számítógép háttértárából letörölte a személyes adatokat tartalmazó fényképeket. A személyes adatokat már nem tartalmazó dokumentumokat a pendrive-ra másolta és átadta a főszerkesztőnek.
A Hivatal válaszlevelében arról tájékoztatta a NAIH-ot, hogy az ügyben jelenleg rendőrségi nyomozás zajlik, amelynek során az iratanyag teljes egészében lefoglalásra került.
A NAIH – az egriugyek.hu oldalon 2020. január 30-án közzétett cikkben megjelent képeket áttekintve – megállapította, hogy az átadásra került fényképfelvételeken a személyes adatok kitakarása nem felelt meg az anonimizálás követelményeinek. Az egyik – Dr. Nyitrai Zsolt Péter ajánlásgyűjtő ívéről készült – fényképfelvételen kitakarás nélkül szerepel egy ajánlását adó választópolgár aláírása, míg egy másik közzétett képen szereplő fényképfelvételen egy további dokumentum-részlet is – Dr. Nyitrai Zsolt Péter ajánlásgyűjtő ívének egy része – látszik, amelyen kitakarás nélkül olvashatóak személyes adatok (egy személy személyi azonosítója és vezetékneve).
Az iratselejtezés során előkerült dokumentumokról készített fényképfelvételeken – azok továbbítása előtt – a személyes adatok anonimizálása nem volt teljeskörű, így a fényképfelvételek, és azok – anonimizálás ellenére – személyes adat tartalommal történő továbbításával a NAIH megállapítása szerint adatkezelés valósult meg.
A NAIH úgy foglalt állást, hogy a polgármester és a jegyző az előkerült iratok lefényképezésével és a Hírportálnak történő átadásával nem a Hivatal normál ügymenetébe illő tevékenységet végeztek, ezen adatkezelési műveletekről személyesen döntöttek. Mindezek alapján a Hatóság a polgármestert és a jegyzőt, mint magánszemélyt tekintette a GDPR 4. cikk 7. pontja alapján adatkezelőnek a vizsgált adatkezelés vonatkozásában.
A NAIH megállapítása szerint az eljárás során az adatkezelő polgármester és jegyző az adatkezelés jogalapját és annak célját nem igazolták, sőt álláspontjuk szerint személyes adatok továbbítására nem is került sor, mivel a fényképfelvételeket úgy adták át a Hírportál főszerkesztőjének, hogy azon a személyes adatok kitakarásra kerültek.
A NAIH a polgármester, a jegyző és a Hírportál főszerkesztőjének egybehangzó nyilatkozatát, amely szerint a polgármester és a jegyző csak anonimizált felvételeket mutatott a főszerkesztőnek, nem fogadta el valósnak.
Ezen nyilatkozatok valódi bizonyítékként történő elfogadása azért kétséges, mert a nyilatkozatok alapján azonosított adatkezelési műveletek életszerűtlennek, egy normál hivatali folyamatba nem illenek.
A NAIH szerint feltételezhető, hogy a főszerkesztővel történő találkozás során az eredeti iratok megtekintése és anonimizálatlan másolatok átadása történt.
A nyilatkozatok valóságtartalmát a NAIH ugyan ellenőrizni nem tudta, azonban bizonyítóerő szempontjából erősebbnek és elsődlegesebbnek tekintette a cikk első verziójában megjelent nyilatkozatot, vagyis, hogy az ajánlóívekről készített másolaton szereplő személyes adatok kitakarására a Hírportál szerkesztőségében került sor.
A NAIH a fentiekben kifejtett álláspontja ellenére a bizonyítás további nehézsége miatt a polgármester és a jegyző jogsértését nem állapította meg.
Az adatkezelésről, azaz a személyes adatok nagy nyilvánosság előtt történő hozzáférhetővé tételéről, interneten történő megjelentetéséről a Hírportál döntött, a részére átadott, azonban a nem teljeskörű anonimizálás miatt személyes adatokat tartalmazó fényképfelvételek ismeretében. A NAIH ezért a személyes adatok nyilvánosságra hozatala által megvalósult adatkezelés vonatkozásában a Hírportált tekintette a GDPR 4. cikk 7. pontja alapján adatkezelőnek.
A Hírportál a nyilvánosságra hozatal tekintetében nem igazolta az adatkezelés jogalapját, sem annak célját. Erre tekintettel a NAIH a rendelkezésére álló dokumentumok és nyilatkozatok alapján megállapította, hogy az iratselejtezés során előkerült dokumentumokról készült, személyes adatokat tartalmazó fényképfelvételek jogalap nélkül történt nyilvánosságra hozatalával a Hírportál megsértette a GDPR 6. cikkét. A NAIH nem szabott ki bírságot az ügyben.
(naih.hu)
