Kfv.37235/2023/2 – Kúria

(1)bekezdés

1. a)pont
2. ac)alpontja alapján nincs helye, pusztán azért, mert a fél az elsőfokú bíróságtól eltérően értelmezi az egyébként egyértelmű az uniós jogi aktust. Az ügy száma: A tanács tagjai: A Kúria mint felülvizsgálati bíróság végzése Kfv.V.37.235/2023/2. Dr. Márton Gizella a tanács elnöke Dr. Demjén Péter előadó bíró A felperes: A felperes képviselője: Az alperes: Hatóság (cím2) Az alperes képviselője: ügyvéd: jogi képviselő1; cím3) A per tárgya: A felülvizsgálati kérelmet benyújtó fél: A felülvizsgálni kért jogerős határozat: Dr. Darák Péter bíró Ságiné dr. Márkus Anett bíró Dr. Stefancsik Márta bíró felperes1 (cím1) Dr. Kóródi-Juhász Zsolt kamarai jogtanácsos Nemzeti Adatvédelmi és Információszabadság Dudás Hargita Zavodnyik Ügyvédi Iroda (eljáró adatvédelmi ügyben indult közigazgatási jogvita a felperes (9. sorszám alatt) Fővárosi Törvényszék 105.K.703.001/2022/8.számú ítélete Rendelkező rész A Kúria a felperes felülvizsgálati kérelmének befogadását megtagadja. A végzés ellen további perorvoslatnak nincs helye. Indokolás A felülvizsgálat alapjául szolgáló tényállás, az alperes határozata [1] A egyéb1 Önkormányzat Képviselő-testületének Testületi, Ügyrendi és Koordinációs Bizottsága a bizottsági tagok vagyonnyilatkozatainak előzetes formai ellenőrzése során, 2021. február 17. napján adminisztrációs hiba miatt felbontotta név1 képviselő hozzátartozójának a vagyonnyilatkozatát, amelyre azonban az ellenőrzése nem terjedt ki. A tévesen felbontott vagyonnyilatkozatot elkülönítették, majd a felperes őrzésért felelős munkatársának visszaadták. [2] Minderről bizottsági feljegyzés csak 2022. január 27-én készült. A felperes az adatvédelmi incidens bekövetkezését nem állapította meg, nem vette nyilvántartásba. [3] Az alperes a 2022. július 8. napján kelt, NAIH-4762-3/2022. számú határozatában megállapította, hogy a felperes azzal, hogy nem vette nyilvántartásba az adatvédelmi incidens megtörténtét, megsértette az Európai Parlamentnek és a Tanácsnak a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló 2016/679/EU rendelete (a továbbiakban: GDPR) 33. cikk

(5)bekezdését és a felperest Kúria V.Kfv.37.235/2023/2 2 figyelmeztetésben részesítette. Indokolása szerint a vagyonnyilatkozatok ellenőrzése során sérült a személyes adatok biztonsága azzal, hogy a hozzátartozói vagyonnyilatkozatot a bizottság tagjai tévesen felbontották, amely így a személyes adatokhoz történő jogosulatlan hozzáférést eredményezett, valamint egyúttal fennállt a lehetősége annak, hogy a bizottsági tagok a nyilatkozó neve mellett további személyes adatokhoz hozzáférjenek. Megállapította, hogy mivel a nyilatkozatot tevő neve közérdekből nyilvános adat, ezért az adatvédelmi incidens valószínűsíthetően nem jár kockázattal az érintett jogaira és szabadságaira nézve, így az eset összes körülményeinek mérlegelése után az alperes a jogsértés megállapítása mellett a legenyhébb szankciót, a figyelmeztetést alkalmazta. A jogerős ítélet [4] Az elsőfokú bíróság a felperes keresete folytán a közigazgatási perben azt vizsgálta, hogy az adatvédelmi incidens megvalósulását az alperes jogszerűen állapította-e meg. Az elsőfokú bíróság szerint a GDPR 4. cikk 12. pontja szerinti adatvédelmi incidens megvalósult, így a 33. cikk

(5)bekezdése alapján a felperesnek nyilvántartásba vételi kötelezettsége keletkezett. A bíróság értelmezte az adatbiztonság GDPR 5. cikk

(1)bekezdés f) pontja és a

1. cikk szerinti fogalmát, és megállapította, hogy az az adatkezelő által a megfelelő technikai és szervezési intézkedések alkalmazását jelenti. A hozzátartozói vagyonnyilatkozatokra az ellenőrzés nem terjedt ki, a hozzátartozói vagyonnyilatkozat felbontásával a nyilatkozatot tett személy személyes adatához is hozzáférhettek. Mivel a
2. cikk
3. pontja szerinti eredmény egyike, a jogosulatlan hozzáférés bekövetkezett, így megállapítható, hogy a felperes a GDPRben rögzített biztonsági elvek betartását nem tudta biztosítani. Az adatvédelmi incidens fennállásának szempontjából nincs jelentősége annak, hogy a jogosulatlan hozzáférés véletlenül következett be, valamint annak sem, hogy az érintett személyes adat (név) nyilvánosan hozzáférhető-e. Ez utóbbi körülményt ugyanis az adatvédelmi incidens kockázati besorolása körében kell értékelni. Minderre tekintettel az alperes határozatát jogszerűnek ítélte, a keresetet elutasította. A felülvizsgálati kérelemben a befogadhatóság körében előadottak [5] A felperes a jogerős ítélettel szemben felülvizsgálati kérelmet terjesztett elő, melynek befogadhatóságát a közigazgatási perrendtartásról szóló
4. évi I. törvény (a továbbiakban: Kp.)
5. §

(1)bekezdés

1. a)pont
2. ac)alpontjára alapította. Előadta, hogy a GDPR 4. cikk 12. bekezdésének alkalmazásával kapcsolatban az Európai Unió Bíróságának előzetes döntéshozatali eljárása szükséges, ugyanis az egységes uniós jogalkalmazás szempontjából a testületnek abban a kérdésben kell állást foglalnia, hogy illetéktelen hozzáférésnek minősül-e az olyan adat megismerése, amelyet az adott adatkezelő egyébként jogszerűen más forrásból megismerhet. A Kúria döntése és jogi indokai [6] A felperes felülvizsgálati kérelemének befogadására – az alábbiak szerint – nincs lehetőség. [7] A Kp. 117. §

(4)bekezdése értelmében a felülvizsgálati kérelemben meg kell jelölni a kérelem befogadhatóságának okát, azonban annak fennállását bizonyítani és azt – a 118. §

(1)bekezdés

1. a)pont
2. ad)alpontja szerinti ok kivételével – indokolni nem kell. A 118. §

(1)bekezdés b) pontja szerinti ok esetében meg kell jelölni azt a közzétett kúriai határozatot és annak azt a részét, amelytől a felülvizsgálni kért határozat jogkérdésben eltér. A fél által megjelölt befogadhatósági okhoz a bíróság nincs kötve. [8] A Kp. 118. §

(1)bekezdése szerint a Kúria a felülvizsgálati kérelmet akkor fogadja be, ha

1. a)az ügy érdemére kiható jogszabálysértés vizsgálata Kúria V.Kfv.37.235/2023/2 3
2. aa)a joggyakorlat egységének vagy továbbfejlesztésének biztosítása,
3. ab)a felvetett jogkérdés különleges súlya, illetve társadalmi jelentősége,
4. ac)az Európai Unió Bírósága előzetes döntéshozatali eljárásának szükségessége,
5. ad)a kérelmező alapvető eljárási jogának valószínűsíthető sérelme, vagy az ügy érdemére kiható egyéb eljárási szabályszegés, illetve
6. b)a Kúria közzétett határozatától jogkérdésben való eltérés miatt indokolt. [9] A Kp. 118. §

(1)bekezdés

1. a)pont
2. ac)alpont alapján a felülvizsgálati kérelem befogadása abban az esetben lehetséges, ha az uniós jogszabály alkalmazása, vagy annak elmaradása az ügy érdemére kihatott, illetve, ha az adott uniós jogszabály értelmezéséhez az adott jogkérdésben előzetes döntéshozatali eljárás lefolytatása szükséges. Az Európai Unió Bíróságának előzetes döntéshozatali eljárása szükségessége kapcsán a Kúria rögzíti, hogy az Európai Unió Működéséről Szóló Szerződés 267. cikke, valamint az annak alapján kialakult uniós és nemzeti joggyakorlat, illetve a Kp. 34. §
3. a)pontja alapján alkalmazandó, a polgári perrendtartásról szóló 2016. évi CXXX. törvény (a továbbiakban: Pp.) 130. §-a alapján elsősorban a nemzeti bíróságok feladata az uniós jog értelmezése és alkalmazása, így az előzetes döntéshozatal indítványozására a feleknek nincs alanyi joga, hanem az eljáró bíróság saját döntése alapján fordulhat az Európai Unió Bíróságához. [10] Az előzetes döntéshozatali eljárásra akkor van szükség és lehetőség, ha az uniós jogot elsődlegesen alkalmazni hivatott nemzeti bíróságnak az uniós jog alkalmazásának mikéntjére vonatkozóan kételyei merülnek fel, és az egységes értelmezés miatt az uniós bíróság eljárása indokolt. A Kúria a befogadási kérelem megvizsgálását követően nem találta indokoltnak előzetes döntéshozatali eljárás kezdeményezését, mivel az illetéktelen hozzáféréssel kapcsolatos uniós jogi szabályozás és az annak alapján kialakult jogalkalmazói gyakorlat egyértelmű, ezért a felvetett jogkérdés nem teszi szükségessé az Európai Unió Bíróságának jogértelmezését. A kialakult joggyakorlatra utal az alperes által is hivatkozott, az Adatvédelmi Munkacsoport adatvédelmi incidensek bejelentéséről szóló iránymutatása is. A Kúria továbbá megállapította, hogy az elsőfokú bíróság egyértelműen alkalmazta a releváns uniós joganyagot, annak értelmezése során kétely nem merült fel. A felülvizsgálati kérelem befogadásának a Kp. 118. §

(1)bekezdés

1. a)pont
2. ac)alpontja alapján nincs helye pusztán azért, mert a fél az elsőfokú bíróságtól eltérően értelmezi az uniós jogi aktust. [11] A Kúria a jogerős ítélet vizsgálatát követően a Kp. 118. §

(1)bekezdés

1. a)pont aa), ab),
2. ad)alpontok és
3. b)pont szerinti befogadási okok alapján sem találta a felülvizsgálati kérelem befogadását szükségesnek. [12] Mindezen indokok folytán nincs jogszabályi lehetőség a felülvizsgálati kérelem érdemi elbírálására, ezért a Kúria annak befogadását a Kp. 118. §

(1)-

(2)bekezdései alkalmazásával megtagadta. A döntés elvi tartalma [13] A felülvizsgálati kérelem befogadásának a Kp. 118. §

(1)bekezdés

1. a)pont
2. ac)alpontja alapján nincs helye, pusztán azért, mert a fél az elsőfokú bíróságtól eltérően értelmezi az egyébként egyértelmű az uniós jogi aktust. Záró rész [14] A Kúria a felülvizsgálati kérelem befogadásáról a Kp. 118. §

(2)bekezdése alapján tárgyaláson kívül határozott. [15] Az eljárás az illetékekről szóló 1990. évi XCIII. törvény 57. §

(1)bekezdés a) pontja alapján illetékmentes. Kúria V.Kfv.37.235/2023/2 4 [16] A végzés elleni perorvoslatot a Kp. 112. §

(1)-

(2)bekezdései és a

1. § d) pontja zárja ki. Budapest,
2. május
3. Dr. Márton Gizella s.k. Dr. Demjén Péter s.k. Dr. Darák Péter s.k. a tanács elnöke előadó bíró bíró Ságiné dr. Márkus Anett s.k. Dr. Stefancsik Márta s.k. bíró bíró A kiadmány hiteléül: tisztviselő