A NAIH ismét foglalkozott az ügyvédi titok és a hozzáférési jog egymáshoz való viszonyával. Korábban, egy állásfoglalásban már tárgyalta a kérdést. 

1. Tényállás

A kérelmező azért fordult a Hatóságoz, mert a hozzáférési kérelmére az adatkezelőtől (ellenérdekű fél ügyvédje) nem kapott választ.

A Hatóság által megkeresett adatkezelő (ügyvéd) előadta, hogy őt az ügyvédi tevékenységről szóló 2017. évi LXXVIII. törvény (Üttv.) 9. §-a szerint titoktartási kötelezettség terheli, amely - véleménye szerint -  abszolút kötelezettség, és az üggyel kapcsolatos minden adatra kiterjed.

Az ügyvéd a Hatóságnak írt levelében hivatkozott a GDPR 14. cikk (5) bekezdésének d) pontjára, mely értelmében - értelmezése szerint - nem kell az érintett rendelkezésére bocsátani az adatkezeléssel összefüggő információkat, ha a személyes adatoknak valamely uniós jog vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján – ideértve a jogszabályon alapuló titoktartási kötelezettséget is – bizalmasnak kell maradnia. Az adatkezelő (ügyvéd) álláspontja szerint a fenti jogszabályi rendelkezésből az következik, hogy a kérelmezővel szemben őt nem terheli tájékoztatási kötelezettség, másképp megfogalmazva a kérelmezőnek nincs hozzáférési joga.

Az adatkezelő előadta továbbá, hogy válaszában (ami levél formájában nem jutott el a kérelmezőhöz, de azt az adatkezelő később emailben is elküldte), a titoktartási kötelezettségére hivatkozva nem adott teljeskörű választ arra, hogy a kérelmező mely személyes adatait, milyen célból, meddig kezeli.

Az adatkezelő fenti állápsontjával szemben a kérelmező kifejtette, hogy az ügyvéd tévesen hivatkozott a GDPR 14. cikk (5) bekezdésének d) pontjára, továbbá a hozzáférési jogának annak ellenére is érvényesülnie kellett volna, hogy a kérelmező ellenérdékű fél volt. A kérelmező nehezményezte azt is, hogy az adatkezelés vonatkozásában a kérelmezett adatkezelő nem adott teljes tájékoztatást.  

További nyilatkozatok során az adatkezelő hivatkozott a GDPR 23. cikk (1) bekezdés (i) és (j) pontjaira is, mint a hozzáférési jog teljesítésének akadályaira, illetve a Hatóság kérdésére az egyes adatkategóriák vonatkozásában részletesebben is kifejtette, hogy azok - álláspontja szerint - miért minősülnek ügyvédi titoknak.  

2. A Hatóság megállapításai 

2.1. Az uniós jog elsőbbsége

A NAIH röviden kitér arra, hogy amennyiben ellentétbe kerülnének a GDPR-ban foglalt kötelezettségek és az Üttv. ügyvédi titokra vonatkozó rendelkezései, akkor ezt a - látszólagos - ellentétet az uniós jog elsőbbségének elve feloldja, miszerint a GDPR-t kell alkalmazni a tagállami jogszabály (jelen esetben az Üttv.) ellenében. 

2.2. Az adatkezelő személye

A NAIH ismét, a korrábbi témába vágó állásfoglaláshoz hasonlóan leszögezi, hogy a kérelmezett ügyvéd önálló adatkezelői minősége fennáll a vizsgált adatkezelés tekintetében. Ennek megfelelően pedig a kérelmezett ügyvédet terhelik a GDPR szerinti adatkezelési kötelezettségek, köztük az érintetti kérelmek, beleértve a hozzáférési kérelmeket, megfelelő elbírálása is.  

2.3. A GDPR 14. cikk (5) bekezdés d) pontjának és a 15. cikk szerinti hozzáférési jog viszonya

A NAIH tisztázza a kérelmezett téves jogszabályi értelmezéséből fakadó félreértést, miszerint az adatkezelőket terhelő általános tájékoztatás kötelezettség (GDPR 13. és 14. cikkek) és a hozzáférési jog (GDPR 15. cikk) két  elkülönülő típusú tájékoztatási kötelezettség. A GDPR 13. és 14. cikkei alapján az adatkezelőket előzetes, általános tájékoztatási kötelezettség terheli, míg a GDPR 15. cikk alapján az adott érintett ("aktív" joggyakorlása révén) saját személyes adatainak konkrét kezeléséről igényel tájékoztatást. 

A NAIH egyértelművé teszi, hogy 

Az általános adatvédelmi rendelet 15. cikke szerinti hozzáférési jog vonatkozásában nem alkalmazandó az általános adatvédelmi rendelet 14. cikk (5) bekezdés d) pontja szerinti kivétel, azaz a Kérelmező a hozzáférési jogát abban az esetben is jogosult gyakorolni, amennyiben az általános adatvédelmi rendeletben az előzetes tájékoztatáshoz való jogra vonatkozó rendelkezések nem alkalmazandóak arra tekintettel, hogy a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia. (Határozat (90) pont, kiemelés tőlem.)

2.4. Hozzáférési jog 

A fentiekre figyelemmel a NAIH azt vizsgálta, hogy a GDPR 15. és 23. cikke alapján fennáll-e olyan korlátozó tényező, amely a hozzáférési jog gyakorolhatóságát kizárja, illetve korlátozza. Ebben a körben a NAIH az alábbi főbb megállapításokat tette: 

• A GDPR 23. cikk (1) bekezdése szerinti korlátozás azonban nem jelent általános korlátozást a GDPR 15. cikke tekintetében. A GDPR 15. cikke a GDPR 23. cikk (1) bekezdésében felsorolt érdekek védelmében, a szükséges és arányos mértékben korlátozható. Az ezzel ellentétes tagállami szabályozás nem alkalmazható.  
• A Hatóság elfogadta az adatkezelő Üttv. 9. § (1) bekezdése szerinti ügyvédi titokra mint a 23. cikk szerinti tagállami korlátozó intézkedésre történő hivatkozást a GDPR 15. cikk (1) bekezdés b) c) és g) pontjai (azaz az érintett személyes adatok kategóriái; azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják; az adatok forrására vonatkozó minden elérhető információ), valamint a (2) és (3) bekezdés tekintetében: 

  Amennyiben ugyanis egy ügyben az eljáró ügyvéd az ellenérdekű félnek a fenti – ügyvédi titok körébe tartozó – információkról tájékoztatást, valamint az általa kezelt adatokról másolatot adna, az ténylegesen kihatással lehetne a polgári jogi követelések érvényesítésével kapcsolatos vagy más jogi eljárások kimenetelére, és veszélyeztethetné az általános adatvédelmi rendelet 23. cikkének (1) bekezdésében meghatározott védendő érdekek (így különösen a 23. cikk (1) bekezdés f); i) és j) pontja) érvényesülését. E vonatkozásban a Hatóság álláspontja szerint nincsen jelentősége annak, hogy azon eljárások, amelyekhez kapcsolódóan a Kérelmezett kezelte, illetve kezeli a Kérelmező személyes adatait, már lezárultak, tekintettel arra, hogy a Kérelmezett ügyfelének jogai és szabadságai védelme érdekében továbbra is korlátozható a GDPR 15. cikke szerinti hozzáférési jog. Ahhoz, hogy az ügyvédek ügyfelei érdemben gyakorolhassák a jogi képviselet igénybe vételéhez való jogukat, biztosítani kell számukra azt, hogy azon adatok, tények, információk, amelyeket a megbízott ügyvédjük tudomására hoztak, illetve amelyekről az ügyvéd a tevékenysége gyakorlása folyamán mástól tudomást szerzett, bizalmasnak maradjanak. A Kérelmezett ügyfelének ezen érdeke védelmében került sor a GDPR 23. cikk (1) bekezdés i) pontja alapján a Kérelmező hozzáférési joga fentiek szerinti korlátozására." (Határozat, (100) pont, kiemelés tőlem)

• A Hatóság ugyanakkor megállapította, hogy - tekintettel arra, hogy az eljárások, amelyekre a hozzáférési igény vonatkozott már lezárultak - az adatkezelés céljairól nyújtandó tájékoztatás (GDPR 15. cikk (1) bekezdés a) pont) nem tartozik az ügyvédi titok körébe, ugyanis a lezárt eljárásokhoz kapcsolódó személyes adatok további kezelésének célját az adatkezelő önállóan határozza meg, így ezek nem olyan információk, amelyekről az ügyvéd a tevékenysége gyakorlása során szerzett tudomást. (Határozat, (101) pont) Továbbá a NAIH rögzítette, hogy "a GDPR 15. cikk (1) bekezdés további pontjai, azaz a d), e), f) és h) pontjai tekintetébenaz Üttv. 9. § (1) bekezdése szerinti ügyvédi titokra mint a 23. cikk szerinti tagállami korlátozó intézkedésre történő hivatkozás nem fogadható el. Emellett annak kérdéséről is köteles tájékoztatni a Kérelmezőt a Kérelmezett, hogy a személyes adatainak kezelése folyamatban van-e." (Határozat, (102) pont, kiemelés tőlem) 

2.5. Jogkövetkezmények, a Hatóság általános megállapításai az ügyvédi tevékenységgel kapcsolatos adatkezelés vonatkozásában  

• A NAIH megállapította a GDPR 15. cikk (1) bekezdésének sérelmét, és utasította az adatkezelőt, hogy az érintett hozzáférési kérelmét válaszolja meg.
• Bírság kiszabására az ügyben nem került sor. 
• A NAIH leszögezte azt is, hogy "[...] különösen az ügyvédi tevékenységez gyakorlók részéről – nem elfogadható az, hogy nem ismerik és nem alkalmazzák az általános adatvédelmi rendelet rendelkezéseit, így az ügyvédi titokra hivatkozva teljes egészében megtagadják az érintettek hozzáférési kérelmének teljesítését. A Hatóság kiemeli, hogy továbbra is gyakoriak az ügyvédi tevékenységet gyakorlók körében észlelt, az általános adatvédelmi rendelet rendelkezéseinek be nem tartásával kapcsolatos jogsértések." (Határozat, (113) pont) 

3. Összegzés

• A NAIH immár több esetben foglalkozott az ügyvédi tevékenység és a hozzáférési jog kérdésével. Más-más tényállás mellett, de a NAIH konklúziója az volt, hogy az ügyvédi titokra hivatkozás önmagában nem zárja ki a hozzáférési jog gyakorlásának a lehetőségét, legfeljebb - a GDPR 15. cikk (4) bekezdésére és a 23. cikkére tekintettel - megfelelő korlátok között gyakorolható. 
• A korábbi állásfoglalásában a NAIH jelezte, hogy  meg fogja keresni a Magyar Ügyvédi Kamarát a kérdéskör általános rendezése érdekében. Ezen megkeresésről, illetve az ez alapján a kérdéskör általános rendezése ügyében tett lépésekről nem áll rendelkezésre jelenleg információ, mindenesetre, fontos lenne a téma átfogó rendezése, hiszen ez az ügyvédi tevékenység zavartalan gyakorlása tekintetében is elengedhetetlen.