A Millenniumi Országjáró országos programajánló és kulturális magazin postázásával összefüggő adatkezelésekkel kapcsolatos adatvédelmi biztosi

Hivatalomhoz május 24-étől érkeznek olyan írásos beadványok és telefonos kérdések, amelyekben az állampolgárok - a nevükre és címükre postán érkezett Millenniumi Országjáró országos programajánló és kulturális magazin (továbbiakban: Országjáró) kapcsán - az után érdeklődtek, hogy az Országjáró kiadója, a Miniszterelnöki Hivatal Országimázs Központja hogyan jutott név- és lakcímadatukhoz, illetve adataikat jogszerűen használta-e fel. Többen arra is választ várnak, hogy miképpen kerülhetik el a kiadvány jövőbeli névre szóló postázását. Egyesek azt kifogásolják, hogy a magazin postázásáról úgy mondhatnak le, ha - nevük és címük feltüntetésével - nyílt levelezőlapon, egy ismeretlen postafiókra „lemondó nyilatkozat”-ot küldenek.

Egy panaszos - hivatkozva az Országjáró szerkesztőségével folytatott levelezésére - úgy véli, hogy „Országimázs Központ által magára vállalt tájékoztatási tevékenység teljesítése nem igényli a teljes (!) magyar lakosság személyes adatainak megszerzését és felhasználását”, továbbá: „nyilvánvaló, hogy a lap minden családhoz történő eljuttatásának más, adatvédelmi szabályokba nem ütköző módja is van”.

Az Országjáróra ragasztott - a címzett nevét és lakcímét tartalmazó - címkén a „MINISZTERELNÖKI HIVATAL Országimázs Központ” feladóként, és a kézbesítő postahivatalra utaló számsor szerepel. A magazin második oldalának bal alsó sarkában az alábbi szöveg olvasható: „Az Országjárót a Millenniumi Év alkalmából mindenkihez térítésmentesen eljuttatjuk. Amennyiben Ön azt kéri, hogy címére ne postázzuk a magazint, kérjük, hogy erről nyílt postai levelezőlapon nyilatkozzon neve, állandó lakcíme, levelezési címe feltüntetésével a következő címen: ’Lemondó nyilatkozat’ Budapest, 62. Pf. 1300., 1387 Tájékoztatjuk Önt, hogy adatait a BM Központi Adatfeldolgozó, Nyilvántartó és Választási Hivatal bocsátotta rendelkezésünkre.”

A fentiekre figyelemmel munkatársaim május 31-én a BM Központi Adatfeldolgozó, Nyilvántartó és Választási Hivatalban (továbbiakban: Központi Hivatal), június 5-én a Miniszterelnöki Hivatal Országimázs Központjában (továbbiakban: Országimázs Központ), június 8-án a Magyar Posta Rt. Levél-, és Hírlapüzletági Igazgatóságán, valamint az Elektronikus Posta Központban (továbbiakban együtt: Posta) helyszíni vizsgálatot végeztek: megbeszélést folytattak az ügyben illetékes vezetőkkel, munkatársakkal, tanulmányozták a vonatkozó dokumentumokat, ellenőrizték a felhasznált adatállományok tárolásának, továbbításának és felhasználásnak módját, és az alábbiakat állapították meg:

A 2001. május 4-én kelt levelében a Központi Hivatal Hatósági és Felügyeleti Főosztályának vezetője arról értesítette a kérelmezőt, hogy „kérelmére - a polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. törvény 17. § (1) bekezdése alapján - engedélyezem, hogy [...] [a Központ Hivatal] [...] adatszolgáltatást teljesítsen - a kérelemben meghatározott módon - a Millenniumi Országjáró kiadvány személyre szóló küldeményként való kézbesítése céljából”. Az adatszolgáltatás teljesítésére vonatkozó kikötésekre (csak azon élő magyar állampolgárok név és lakcímadatai szolgáltathatók, akik nem éltek adatletiltási jogukkal), valamint az igazgatási szolgáltatási díjfizetési kötelezettség alóli mentességre utaló bekezdések után a főosztályvezető arra hívta fel a figyelmet, hogy „a szolgáltatott adatok, illetve adatállományok kizárólag a kérelemben megjelölt és a jelen engedélyben meghatározott célokra használhatók fel.”

Az adatszolgáltatási engedélyben meghatározott követelmények szerint leválogatott, 3556537 személy adatait tartalmazó adatállományt (megyénként egy-egy fájlba csoportosítva, TXT formátumban) 3 CD-n, két példányban május 11-én vette át az Országimázs Központ egyik vezetője, aki az adatállomány egy példányát - további felhasználásra - május 14-én adta át a Posta képviselőjének. Az átadás-átvételt mindkét esetben írásban dokumentálták. A CD-k másodpéldányát - biztonsági másolatként - az Országimázs Központban, páncélszekrényben őrizték.

A Posta - a fájlokat nyomtatásra alkalmas formátummá alakítva - elkészítette a címkéket, és azok felhasználásával az Országjárót - az irányítószámok, illetve saját terjesztési rendszerük alapján - május második felében és június első napjaiban postai úton eljuttatta a címzetteknek, és a feldolgozás során felhasznált adatokat a számítógépes rendszerből törölte. Június 8-án a Posta képviselője jegyzőkönyvileg átadta a 3 CD-t az Országimázs Központ képviselőjének, aki azokat a másolati példányokkal együtt visszaadta a Központi Hivatalnak. A Postánál folytatott vizsgálat az adatfeldolgozási folyamatot - kiemelten annak adatbiztonsági vonatkozásait - megfelelőnek találta.

A „Lemondó nyilatkozat” fogadására az Országjáróban megjelölt postafiók a Miniszterelnöki Hivatalé. A beérkezett nyilatkozatokat az Országimázs Központ - a tőlük kapott tájékoztatás szerint - eljuttatja a Központi Hivatalnak. A hivatal - egy szóbeli megállapodás alapján, és a vonatkozó törvényi előírásra tekintettel - azonban csak azon „Lemondó nyilatkozat”-okra tart igényt, amelyekből egyértelműen kitűnik, hogy a nyilatkozatot tett polgár teljes körűen élni kíván adatletiltási jogával, azaz nem csak az Országjáró továbbításával összefüggésben tiltja meg a róla nyilvántartott adatok kiadását. (Miután a június első napjaiban átvett közel negyven nyilatkozatból a polgár tényleges szándéka egyértelműen nem volt megállapítható, a Központi Hivatal arról értesítette az érintett polgárokat, hogy - más szándékuk jelzéséig - teljes körű adatletiltásként kezelik nyilatkozatukat.)

A vizsgálat során megállapítottam, hogy az Országimázs Központ az - Országjáró postázásával összefüggő - adatkezeléseket, illetve a Posta adatfeldolgozói tevékenységét az adatvédelmi nyilvántartásba nem jelentette be.

Az ajánlás alapjául szolgáló panaszok vizsgálata során arra kellett választ keresni, hogy egyrészt az Országjáró postázásához szükséges név- és lakcímadatok jogszerűen kerültek-e a Központi Hivataltól az Országimázs Központig, majd onnan a Postához, másrészt a három és fél millió polgár személyes adatainak kezelése, feldolgozása során érvényesültek-e az adatvédelem törvényi követelményei, sérült-e a polgárok személyes adatok védelméhez fűződő alkotmányos joga.

A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvény (a továbbiakban: Avtv.) „célja annak biztosítása, hogy - ha e törvényben meghatározott jogszabály kivételt nem tesz - személyes adatával mindenki maga rendelkezzen, [...]” (1. § (1) bekezdés).

A törvény a továbbiakban így rendelkezik:

(3) E törvény szerint megengedett kivételt csak meghatározott adatfajtára és adatkezelőre együttesen lehet megállapítani.”

„1. személyes adat: a meghatározott természetes személlyel (a továbbiakban: érintett) kapcsolatba hozható adat, az adatból levonható, az érintettre vonatkozó következtetés. A személyes adat az adatkezelés során mindaddig megőrzi e minőségét, amíg kapcsolata az érintettel helyreállítható;

A polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. törvény (továbbiakban: Nytv.) az alábbiak szerint szabályozza a nyilvántartásból történő adatszolgáltatást:

Az Országimázs Központ adatszolgáltatási kérelmében hivatkozott egyik jogszabály, a Miniszterelnöki Hivatalról szóló 137/1998. (VIII. 18.) Korm. rendelet 11. § (1) bekezdése úgy rendelkezik, hogy „A Hivatal a „Miniszterelnökség” költségvetési fejezettel kapcsolatban - kivéve a költségvetésről szóló törvényben meghatározott címeket - ellátja mindazokat a feladatokat, amelyeket jogszabályok a fejezetek irányító szervei hatáskörébe utalnak.” Az adatkérés további jogalapjaként megjelölt a „2000. Évi CXXXIII. törvény a Magyar Köztársaság 2001. Évi költségvetésének 1. Számú melléklete (F01. a Funkciócsoport, 2 Jogcímcsoportszám) alapján végzett tájékoztatási tevékenység” a Magyar Köztársaság 2001. és 2002. évi költségvetése „X. Miniszterelnökség” fejezetcím alatt, a „Célelőirányzatok” között „Országkép építés és tájékoztatási feladatok” jogcímnevet jelent.

A vizsgált ügyben egyrészt három és fél millió polgár személyes adatának (név- és lakcímadatának), másrészt néhány száz polgár név- és lakcímadatának (esetleg levelezési címének) valamint - a magazin jövőbeli postázását - lemondó szándékát jelző adatának gyűjtésére, tárolására, továbbítására, feldolgozására és törlésére került sor. Az Avtv. értelmező rendelkezése szerint a Központi Hivatal és az Országimázs Központ adatkezelőként, míg a Posta adatfeldolgozóként vett részt az Országjáró - polgárok meghatározott köréhez történő - eljuttatásában.

A Központi Hivatalt a Nytv. fentiekben idézett előírásai feljogosítják arra, hogy jogi személy kérelmére - jogának vagy jogos érdekének érvényesítése érdekében - a törvényben meghatározott feltételekkel és korlátok között, a felhasználás céljának és jogalapjának igazolása esetén név- és lakcímadatokat szolgáltasson.

Az Országimázs Központ vezetője a Központi Hivatalhoz továbbított adatszolgáltatási kérelmében felhasználás céljaként az „Országjáró májusi számának személyre szóló küldeményként való” kézbesítését, jogalapként pedig a Miniszterelnöki Hivatal - kormányrendelet és költségvetési törvény alapján végzett - tájékoztatási tevékenységét jelölte meg. A Miniszterelnöki Hivatal, illetve annak szervezeti egységeként működő Országimázs Központ számára viszont sem a hivatkozott, sem más jogszabály nem ír elő olyan feladatot, például tájékoztatási tevékenységet, amelyhez magyar állampolgárok lakcímeit tartalmazó adatbázisra van szükség.

Az ismertetett törvényi előírások alapján a Központi Hivatalnak a kérelem teljesítését meg kellett volna tagadnia. Elsősorban azért, mert a kérelemben megjelölt cél a kérelmező jogát, illetve jogos érdekét nem érinti, illetve az adattal érintett polgár személyiségi jogát sérti. A kérelemben nem jelöltek meg olyan jogalapot, amely bizonyítja azt a - felhasználási célnak alapot adó - kapcsolatot, amely az Országimázs Központ és az érintett polgárok között fennáll, vagy fennállt.

A kérelem teljesítését azért is meg kellett volna tagadni, mert az Országimázs Központnak nincs törvényi felhatalmazása arra, hogy polgárok név- és lakcímadatait kezelje. A kérelemben hivatkozott, a magyar állampolgárok millióit érintő „tájékoztatási tevékenység”-gel összefüggésben személyes adatok kezelésére egyetlen állami szervezetnek sem ad törvény felhatalmazást.

A fentiekben idézett törvényi szabályok szerint ugyanis személyes adat csak akkor kezelhető, ha ahhoz az érintett hozzájárul, vagy azt törvény előírja. A felhatalmazó törvényben pedig meghatározott adatfajtára és adatkezelőre együttesen kell megállapítani a személyes adatok kezelésének lehetőségét. További fontos követelmény, hogy csak olyan személyes adatot lehet törvényben meghatározott célból - a cél megvalósulásához szükséges mértékben és ideig - kezelni, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas.

A Miniszterelnöki Hivatalról szóló kormányrendelet „Országkép építés és tájékoztatási feladatok” ellátásával kapcsolatba hozható teendőkről az 5. §-ban ezt tartalmazza:

„o) önálló feladatkörű politikai államtitkár útján kialakítja és összehangolja a Kormány kommunikációs stratégiáját, ellátja a kormányszóvivői feladatokkal, valamint a miniszterelnök munkájával és a Kormány testületi működésével kapcsolatos egyéb tájékoztatási tevékenységet, felelős Magyarország külföldi országképének formálásáért, az egységes kormányzati kommunikáció érdekében összehangolja a minisztériumok sajtószerveinek tevékenységét, és szakmai-módszertani segítséget nyújt részükre.”

A fentiekből kitűnik, hogy arra nincs törvényi felhatalmazás, hogy az Országimázs Központ - a Központi Hivataltól megkapott adatállományt jogszerűen kezelje (tárolja és továbbítsa), és arra sincs joga, hogy adatfeldolgozással bízza meg a Postát. Tekintettel arra, hogy a „Lemondó nyilatkozat”-ot küldő polgárok előtt rejtve maradt a nyilatkozatokat kezelő szervezet neve, jogellenesnek kell tekinteni a nyilatkozó polgárok adatainak Országimázs Központban történő kezelését is.

Noha a polgárok millióinak adatai jogellenesen kerültek az Országimázs Központhoz, e szervezet adatkezelőnek minősül, és e minőségében - az Avtv. előírásai szerint - köteles lett volna a tevékenysége megkezdése előtt az adatvédelmi biztosnak nyilvántartásba vétel végett bejelenteni az adatkezeléssel és az adatfeldolgozással kapcsolatos - törvényben meghatározott - adatokat.

Összegezve megállapítom, hogy egyrészt az Országimázs Központ - a Miniszterelnöki Hivatal jogszabályokban meghatározott feladatain túlterjeszkedve - megfelelő jogi felhatalmazás nélkül igényelte több millió polgár név-, és lakcímadatát a Központi Hivataltól, másrészt a Millenniumi Országjáró országos programajánló és kulturális magazin postázása kapcsán több jogellenes adatkezelésre, és egyéb jogsértésre került sor, és ezzel sérült a polgárok személyes adatok védelméhez fűződő alkotmányos joga.

A Miniszterelnöki Hivatal Országimázs Központ jogellenesen tárolta és továbbította több mint három és fél millió polgár név- és lakcímadatát, és jogellenesen gyűjtötte, tárolta és továbbította a lemondási szándékukról nyilatkozó polgárok adatait.

Az Országimázs Központ a törvényi előírás ellenére nem jelentette be az adatvédelmi nyilvántartásba az Országjáró postázásával összefüggő adatkezelést és adatfeldolgozást.

Figyelemmel arra, hogy a Millenniumi Országjáró országos programajánló és kulturális magazin postázásával összefüggő adatkezelések során sérült a polgárok személyes adatának védelméhez fűződő joga, a további és jövőbeli jogsértések elkerülése érdekében az alábbi ajánlást teszem:

Budapest, 2001. június 25.