A NAIH egy frissen közzétett határozatában az adattakarékosság és az átlátható adatkezelés elvének megsértésével történő harmadik személyek felé történő adattovábbítás miatt 600.000 Ft összegű bírságot szabott ki a Zala Megyei Kormányhivatal Keszthelyi Járási Földhivatallal szemben.
Az érintettek (Kérelmezők) azt sérelmezték, hogy az ingatlanuk tekintetében a jelzálogjog-jogosult változásáról szóló határozat kézbesítése úgy történt meg, hogy a személyes adataikat (név, születési év, anyja neve, cím, a felvett kölcsön összege, devizanem, a kölcsön jogcíme) az ugyanazon jogosult egyazon törlési kérelmével érintett további 40 ingatlan tulajdonosainak is megküldte az adatkezelő (Kérelmezett/Földhivatal). A Kérelmezett a határozattal együtt a döntéshez kapcsolódó kézbesítési jegyzéket is postázta a határozattal érintettek részére, mely jegyzék valamennyi, a döntéssel érintett természetes személy, így a Kérelmezők nevét és lakcímét is tartalmazta.
A Földhivatal a Kérelmezőknek adott válaszában arra hivatkozott, hogy a vonatkozó jogszabályok értelmében az egy kérelemmel érkezett ügyiratot egy főszám alatt kell beiktatni és a bejegyzés során is egy ügyként kell kezelni, így ennek következtében a Földhivatal informatikai rendszere is egy határozatba foglalja a döntést (a Földhivatal nyilatkozata szerint a határozatot „a számítógép generálja, így az ilyen formátumú döntésből nem lehet kivonatos határozatot nyomtatni, így került el a határozat minden érintetthez”). Később a Hatóság kérdésére az érvelését pontosította a Földhivatal, miszerint "az általa kialakított határozati forma kizárólag a változással érintett sorszámú bejegyzéseket tartalmazta, az ingatlanokra bejegyzett egyéb terheket nem. A megküldött kifogásolt döntés másolata szerint a határozat csak a szerződésállomány-átruházással érintett bejegyzéseket tartalmazta." A Földhivatal úgy nyilatkozott, hogy a kézbesítési gyakorlatát felülvizsgálta és azt, a kifogásolt egyedi esettől eltekintve, megfelelőnek találta. Végül pedig úgy nyilatkozott - szemben az eredeti nyilatkozattal, miszerint a számítógépes rendszer kizárólag így tudja előállítani az ilyen formátumú döntéseket -, hogy "az érintett osztályon helytelen földhivatali, speciális ágazati jogalkalmazási és helytelen szoftverfelhasználói hiba történt, amelyet egyedi – nem rendszerszintű – gondatlan mulasztás okozott".
A NAIH döntése
A Hatóság megállapította, hogy egy hatósági határozat közlése a GDPR alapján 6. cikk (1) bekezdése e) pontja szerinti kötelező adatkezelésnek minősül ("az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges"). Ugyanakkor leszögezte a Hatóság azt is, hogy a döntés közlése során az érintett adatkezelő hatóságnak a GDPR alapelveinek figyelembevételével kell eljárnia, így az adattakarékosság elvét is szem előtt kell tartania (GDPR 5. cikk (1) bekezdés c) pont). A határozat kivonatolására vonatkozó kötelezettség elmulasztása a GDPR-ban rögzített alapelv mellett, a vonatkozó ágazati szabályok sérelmét is jelentette (az ingatlan-nyilvántartásról szóló 1997. évi CXLI. törvény végrehajtásáról szóló 109/1999. (XII. 29.) FVM rendelet 99. §-a szerint ugyanis, ha egy döntés több olyan intézkedést tartalmaz, amely nem vonatkozik valamennyi érdekeltre (pl. telekalakítás, kisajátítás stb.), az egyes érdekeltek részére a döntésnek csak a rájuk vonatkozó kivonatát kell kézbesíteni).
Megállapította a Hatóság, hogy "a döntésről értesültek nevének és címének felsorolását tartalmazó kézbesítési jegyzék továbbítása is a szükségesnél szélesebb körű adattovábbítást valósított meg".
A Hatóság vizsgálta a Földhivatal azon érvelését is, hogy az adattovábbítás azért sem volt jogszerűtlen, mert a tulajdoni lapon szereplő információk nyilvánosak és azok bárki által megismerhetők.
A NAIH álláspontja szerint - a vonatkozó jogszabályok (Ptk. 5:166. §, Inytv. 68. § (1) bekezdés, Inytv. 67. § (2) bekezdés a) pont) alapján - "az ingatlan-nyilvántartásban szereplő adatok korlátozott nyilvánosság mellett ismerhetőek meg": az ingatlan-nyilvántartás nyilvánossága kizárólag kérelem esetén érvényesül, a vizsgált esetben viszont az adatok megismerése „kéretlenül” következett be.
A Földhivatal megsértette az átláthatóság elvét is (GDPR 5. cikk (1) bekezdés a) pont), mivel úgy tájékoztatta az érintetteket, hogy „a határozat kipostázása vonatkozásában a jogszabályok nem tartalmaznak részlet-rendelkezéseket”. Ez pedig megtévesztő volt, hiszen a hivatkozott FVM rendelet kifejezetten rendelkezik a határozatok postázására vonatkozó követelményekről.
(Bár az eljárásban a Hatóság nem vizsgálta a Földhivatal általános adatkezelési gyakorlatát a határozat rögzíti, hogy az adatkezelés során alkalmazott szoftver felhasználói kézikönyve 1996. augusztusában készült és utolsó módosítása is 1998. októberében (!) történt, ráadásul a kézikönyvben szereplő jogszabályok is több évtizede hatályon kívül helyezésre kerültek.)
Bírság mértéke
A Hatóság a bírság meghatározása során az alábbi körülményeket vette figyelembe:
- szándékosság nem volt megállapítható, gondatlan szabályszegésről van szó, ugyanakkor a Kérelmezett közhatalmi jogosítvány gyakorlásának keretében, ismétlődő jelleggel fő tevékenységeként végzi az ingatlan-nyilvántartással összefüggő adatok kezelését, határozatok kiadását és közlését;
- a Kérelmezett a jogellenes adatkezelés tényét elismerve, a gyakorlatát megváltoztatta;
- a Kérelmezők adatait 40 fő ismerte meg illetéktelenül,
- a jogsértés mind a tájékoztatás, mind az átláthatóság, mind az adattakarékosság szempontjából közepesen súlyos jogsértés.
