A közelmúltban tette közzé a NAIH a 2020. évre vonatkozó éves beszámolóját. A Hatóság éves beszámolóját idén is érdemes átböngészni, mert egyrészt képet ad az adatvédelem és információszabadság területén zajló főbb folyamatokról, másrészt néhány, a beszámolóban kiemelt ügy révén hasznos segítséget jelenthet a jogalkalmazáshoz. A GDPR-hoz kapcsolódó ügyek mellett, a bűnügyi adatvédelmi irányelv alkalmazása kapcsán felmerült tapasztalatokról is számot ad a beszámoló és természetesen az információszabadsággal kapcsolatos fejleményekről is olvashatunk. 

Az alábbiakban a beszámoló néhány fontos, az adatvédelem területét érintő pontját emelem ki. 

1. A számok tükrében

Az adatvédelmi tárgyú ügyek kapcsán növekedést láthatunk 2019-hez képest. Az adatvédelmi vizsgálati ügyek száma 2.400 volt 2020-ban (szemben a 2019-es 1.738-al): 

Forrás: NAIH, 2020. évre vonatkozó éves beszámoló, 8. o. 

Adatvédelmi hatósági eljárásra pedig 347 esetben került sor (2019-ben 276 ilyen eljárás volt). A hatósági eljárások döntő többsége továbbra is kérelemre indul. Adatvédelmi hatósági ellenőrzést 690 alkalommal indított a Hatóság (a 2019-ben 568 ügy tartozott ebbe a kategóriába). Összességében tehát az adatvédelmi ügyszám - ha nem is olyan dinamikusan, mint 2019-ben - továbbra is növekvő pályán mozgott. 

A Hatósághoz 2020-ban 256.411.000 Ft bírság folyt be, amely közel másfélszerese a 2019-ben kimutatott összegnek.

2. Kiemelt adatvédelmi tárgyú ügyek 

• koronavírussal kapcsolatos adatkezelések,
• kamerás megfigyelések,
• politikai pártok adatkezelése,
• egyéb érdekes ügyek.

(A koronavírussal kapcsolatos hatósági állásfoglalások, illetve a kamerás megfigyelések kérdése az adatvédelmi tisztviselők 2020-as konferenciáján is kiemelt témák voltak. Erről rövid, angol nyelvű összefoglaló itt található.)

A kamerás megfigyelések kapcsán az adatkezelők számára hasznos lehet a Hatóság összefoglalója a kamerás adatkezelések kapcsán végzett érdekmérlegelésekről és az elszámoltathatóságról (lásd Éves beszámoló, 34-37. o.) Ennek keretében a NAIH néhány tipikus adatkezelői hibára is felhívja a figyelmet. Ezek a következők: 

• az adatkezelői jogos érdek meghatározásának általánossága, absztraktsága, elméletisége;
• bár az adatkezelő meghatározza a jogos érdekét, de az eset konkrét körülményei nem igazolják a jogos érdek fennállását;
• az adatkezelő helytelen vagy zavaros meghatározása (például magánszemély lakásán működő gazdasági társaság esetén nem derül ki, hogy háztartási adatkezelés vagy vagyonbiztonsági célú kamerás adatkezelésről van szó);
• a „szükségességi teszt” elhanyagolása.

A Hatóság a kamerás megfigyelésekkel kapcsolatos bírói gyakorlat kapcásn felhívja arra a figyelmet, hogy - a tapasztalatok szerint - az adatkezelőknek egyre pontosabb, egyre konkrétabb bizonyítékokkal kell szolgálniuk a kamerás adatkezelésükre vonatkozóan, ami megerősíti a dokumentációs (írásbeli) elvárásokat is (lásd Éves beszámoló, 2.4. pont, 37. o.).

Az általános megállapításokat követően, egyes tipikus, kamerás megfigyeléssel összefüggő adatkezelési kérdést mutat be részletesebben a beszámoló: 

• munkahelyi kamerás megfigyelés szabályai,
• önkormányzati közterületi kamerás ügyek, 
• adatvédelmi szabályozás alóli kivételek (álkamerák, háztartási célú kivétel), 
• közös tulajdonban álló területek kamerás megfigyelése,
• forgalomfigyelő kamerák, 
• testkamerák, 
• társasházi kamerák.

Az egyéb fontos, érdekes ügyek keretében az alábbi témákat tárgyalja a Hatóság: 

• bírságösszeg, alkalmazott szankció;
• különleges személyes adatok kezelése;
• kiskorú érintettek;
• az eldöntendő jogkérdés újszerű jellege, a jogértelmezési kérdés jelentősége;
• személyes adatok határon átnyúló kezelése. 

3. Adatvédelmi incidensek

A NAIH felé bejelentett adatvédelmi incidensek száma is növekedés mutat 2019-hez képest. 2020-ban összesen 781 incidenst jelentettek be a NAIH részére. 

Forrás: NAIH, 2020. évre vonatkozó éves beszámoló, 76 o. 

A NAIH az éves beszámolóban kiemel néhány konkrét esetet is, amely incidenskezeléssel kapcsolatban tartalmaz megállapításokat. Ezek közül említést érdemel a DIGI-t érintő ügy, amely tekintetében az eddig kiszabott legmagasabb összegű adatvédelmi bírság kerül megállapításra, 100 millió forint összegben. Emellett az éves beszámolóban szerepel a Robinson Tours ügye, amely kapcsán az adatkezelő 20 millió forint összegű bírsága mellett az adatfeldolgozó is bírságot kapott (500.000 Ft összegben).  

4. A Hatóság peres ügyei 

2020-ban a Hatóságnak a Fővárosi Törvényszéken, illetve a Kúrián mindösszesen 25 jogerősen lezárt peres ügye volt. A NAIH mérlege továbbra is kimagaslóan jó a pernyertesség szempontjából: a Hatóság ugyanis 20 perben pernyertes, 2 perben részlegesen pernyertes volt, mindössze 2 perben volt pervesztes, míg 1 eljárást a bíróság megszüntetett a felperes keresettől való elállása miatt.

A peres ügyek kapcsán az alábbiakról tartalmaz összefoglalót a beszámoló: 

• politikai párt adatvédelmi incidensével kapcsolatos ügy,
• a "Csatlakozzunk az Európai Ügyészséghez!” kezdeményezéshez kapcsolódó hatósági eljárás, 
• engedményezés jogalapjával kapcsolatos ügy,
• a Magyarországi Szcientológia Egyház és a Szcientológia Egyház Központi Szervezet adatkezelésével kapcsolatos ügy, 
• levéltári adatok megismerhetőségével kapcsolatos ügy.

5. A Hatóság nemzetközi ügyei 

2020-ban 784 ügy érkezett más tagállami hatóságoktól az IMI rendszeren keresztül a NAIH-hoz, amelyek negyedében tekintette magát érintett hatóságnak a NAIH. A Hatóság 11 eljárásban szerepelt fő felügyeleti hatóságként és 15 saját GDPR 56. cikk szerinti eljárást indított.

Az IMI rendszeren keresztül érkezett ügyek megoszlása az alábbi volt: 

Forrás: NAIH, 2020. évre vonatkozó éves beszámoló, 165 o. 

2020-ban sor került az első, GDPR 65. cikk (1) bekezdés a) pontja szerint vitarendezési eljárásra. Az első vitarendezési eljárás tárgya az ír felügyeleti hatóság egyik döntéstervezete volt, mely egy, a Twitter tevékenységével összefüggésben megvalósult adatvédelmi incidens körülményeit értékelte, más hatóságok mellett a magyar felügyeleti hatóság kifogása alapján. (A Testület döntése elérhető itt.)

6. Európai Bíróság nagy jelentőségű döntései 2020-ból

Az éves beszámoló tartalmazza az Európai Bíróság néhány nagy jelentőségű, adatvédelmi tárgyú döntésének összefoglalóját is. Ezek az alábbiak: 

• Schrems II. ügy (C-311/18.), 
• Orange Romania SA ügy (C-61/19.), 
• VQ kontra Land Hessen ügy (C-272/19.),
• Privacy International ügy (C-623/17.).