I. Bevezetés
A Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH vagy Hatóság) határozata jelentős adatvédelmi hiányosságokat tárt fel a HÉV-állomások kamerás megfigyelési gyakorlatával kapcsolatban. A vizsgálat szerint az Adatkezelő jogelődje 2020. november 30. és 2024. november 27. között több HÉV-állomáson és megállóhelyen nem csupán képfelvételt, hanem hangfelvételt is készített, amely naponta több tízezer utast érintett.
II. A Hatóság tudomásszerzése az esetről, az eljárás menete
A NAIH vizsgálata egy, a nyilvánosságot is elérő incidens nyomán indult. A Szilasliget HÉV-megállóban készült, egy önkielégítést végző személyt ábrázoló kamerafelvétel. Ezt a felvételt Kerepes város polgármestere közzétette Facebook oldalán. A Hatóság először a Kerepesi Polgármesteri Hivatal térfigyelő rendszerének adatkezelését kezdte vizsgálni. A helyszíni szemle során azonban kiderült, hogy a közterület-felügyelet által figyelt élőképek nemcsak képet, hanem hangot is közvetítettek, a kamerarendszert pedig nem az önkormányzat, hanem a MÁV-HÉV Zrt. (a továbbiakban: adatkezelő) üzemeltette. Ezzel párhuzamosan egy közérdekű bejelentés is érkezett a Hatósághoz, az adatkezeléssel kapcsolatban.
A bejelentés alapján a NAIH hivatalból vizsgálati eljárást indított, amelynek során részletes nyilatkozatokat és dokumentumokat kért be az adatkezelőtől. A Hatóság figyelmét különösen az keltette fel, hogy a Szilasliget HÉV-megálló kamerái hangfelvételt is készítettek, és a rögzített hanganyaghoz a Kerepesi önkormányzat is hozzáférhetett. Az összegyűjtött információk alapján a Hatóság arra a következtetésre jutott, hogy a kamerás adatkezelés jogszerűségével kapcsolatban több adatvédelmi kérdés is felmerül, ezért a vizsgálatot fokozatosan kiterjesztette valamennyi érintett HÉV-állomás és megállóhely kamerarendszerére.
A vizsgálati eljárást követően a Hatóság 2024 őszén hatósági ellenőrzést indított, amelynek célja annak vizsgálata volt, hogy a HÉV-állomásokon és megállóhelyeken működő kamerarendszerek megfelelnek-e az általános adatvédelmi rendelet (a továbbiakban: GDPR) előírásainak. Az ellenőrzés során az adatkezelő már elismerte, hogy összesen 19 állomáson és megállóhelyen működtek olyan kamerák, amelyek kép- és hangfelvételt egyaránt készítettek. A korábbi nyilatkozatokhoz képest ez lényegesen szélesebb körű adatkezelést tárt fel, amelynek jogalapjaként az adatkezelő egyaránt hivatkozott jogos érdekére és a személyszállítási szolgáltatásokról szóló 2012. évi XLI. törvény (a továbbiakban: Szsztv.) rendelkezéseire.
Az eljárás közben szervezeti változás is bekövetkezett: 2025. január 1-jével a MÁV-HÉV Zrt. beolvadt a MÁV Személyszállítási Zrt.-be, amely jogutódként átvette az eljárásban a kötelezetti pozíciót és fenntartotta a jogelőd korábbi nyilatkozatait. Ezzel egyidejűleg a jogszabályi környezet is módosult, mivel 2025-től az Szsztv. ismét lehetővé tette meghatározott feltételek mellett a kép- és hangfelvétel készítését. Erre tekintettel a NAIH újabb tényállás-tisztázó eljárást folytatott annak vizsgálatára, hogy az adatkezelő megváltoztatta-e adatkezelési gyakorlatát, és az új szabályozás mellett eleget tett-e a GDPR által előírt adatvédelmi követelményeknek, különösen az adatvédelmi hatásvizsgálat elvégzésére vonatkozó kötelezettségének.
III. A hangrögzítés oka
A hatósági eljárás során megállapítást nyert, hogy a hangrögzítést valamennyi olyan kamerán automatikusan aktiválták, amely technikailag alkalmas volt hangfelvétel készítésére. Az adatkezelő álláspontja szerint a hangrögzítés célja a HÉV-rendészeti feladatokat ellátó munkavállalók védelme, valamint intézkedéseik utólagos ellenőrizhetőségének biztosítása volt vitás vagy hatósági eljárást eredményező esetekben. A NAIH ugyanakkor rámutatott arra, hogy a munkavállalók ellenőrzésére és védelmére hivatkozott cél önmagában nem igazolja valamennyi kamera folyamatos hangrögzítését, különösen akkor, ha az adatkezelő nem vizsgálta egyedileg az intézkedés szükségességét és arányosságát. A hatóság emellett kifogásolta a megőrzési gyakorlatot is: a korábban nyomozóhatóságok részére átadott, majd azok másolataként az adatkezelőnél maradt kép- és hangfelvételeket előre meghatározott, jogszerű megőrzési idő hiányában mintegy másfél évig tárolták. Bár az adatkezelő ezt azzal indokolta, hogy belső szabályzata a bűncselekmények elévülési idejéhez igazodó ötéves megőrzési időt írt elő, a NAIH ezt nem tekintette megfelelő adatvédelmi indoknak.
IV. Az adatkezelés személyi kiterjedése
A NAIH azt is vizsgálta, hogy a kifogásolt adatkezelés milyen nagyságrendben érinthette az utazóközönséget. A rendelkezésre álló utasforgalmi adatok alapján a hangrögzítéssel érintett HÉV-állomásokon és megállóhelyeken 2023-ban egy átlagos munkanapon több mint 34 500 utas fordult meg, ami éves szinten 2024-ben hozzávetőlegesen több mint 8,6 millió érintettet jelentett. A Hatóság ezért megállapította, hogy a vizsgált adatkezelés jelentős számú természetes személyre terjedt ki, ami tovább erősítette a GDPR szerinti fokozott adatvédelmi garanciák – így különösen az adatvédelmi hatásvizsgálat és az átlátható tájékoztatás – alkalmazásának szükségességét.
V. A vonatkozó jogszabályi környezet változása
Míg 2019. április 26-át megelőzően az Szsztv. még lehetővé tette a közlekedési szolgáltatók számára kép- és hangfelvételek készítését, az uniós adatvédelmi reformhoz igazodó jogszabály-módosítás ezt a lehetőséget megszüntette. Ennek eredményeként 2019. április 26. és 2024. december 31. között az Szsztv. már nem biztosított jogszabályi felhatalmazást a HÉV-állomásokon és megállóhelyeken történő hangrögzítésre, kizárólag képfelvételek készítésére. A NAIH ennek alapján hangsúlyozta, hogy a vizsgált időszakban a hangfelvételek készítése nem alapulhatott az Szsztv. rendelkezésein. A határozat kitért arra is, hogy a törvény a kamerafelvételek megőrzésére szigorú határidőket ír elő: főszabály szerint a felvételeket a rögzítést követő 16. napon törölni kell, amelytől csak a törvényben meghatározott (például belső vizsgálat, hatósági megkeresés vagy bírósági eljárás) esetekben lehet eltérni. Érdekesség, hogy bár a jogalkotó 2025. január 1-jétől ismét megemlítette a kép- és hangfelvétel készítésének lehetőségét az Szsztv. 8. § (2) bekezdésében, a megfigyelés helyszíneit és feltételeit szabályozó 8. § (5) bekezdés szövegét nem igazította ehhez a módosításhoz. Ez értelmezési bizonytalanságot eredményez, amelyre a NAIH is felhívta a figyelmet. A Hatóság álláspontja szerint a jogszabályváltozás önmagában nem teremti meg a hangrögzítés automatikus jogszerűségét: az adatkezelőnek továbbra is igazolnia kell a GDPR alapelveinek való megfelelést, valamint – nyilvános helyek nagymértékű, módszeres megfigyelése esetén – előzetesen adatvédelmi hatásvizsgálatot is kell végeznie.
VI. A Hatóság fontosabb döntései az ügyben
VI.1. Az adattakarékosság kérdésében
A NAIH megállapította, hogy a HÉV-állomásokon és megállóhelyeken 2020. november 30. és 2024. november 27. között alkalmazott hangrögzítés sértette a GDPR adattakarékosságra vonatkozó alapelvét. A Hatóság szerint a kép- és hangfelvétel készítése két eltérő adatkezelési művelet, ezért a hangrögzítés szükségességét, alkalmasságát és arányosságát külön kellett volna megvizsgálni. Erre azonban nem került sor, mivel az adatkezelő jogelődje valamennyi olyan kamerán bekapcsolva hagyta a hangrögzítési funkciót, amely technikailag alkalmas volt erre, függetlenül attól, hogy az adott helyszínen a hang kezelése valóban indokolt volt-e.
A NAIH hangsúlyozta, hogy a hangrögzítés a képfelvételnél súlyosabban érinti a magánszférát. A kamera látóterén kívül elhangzó beszélgetések is rögzülhetnek, az utasok pedig egy közterületi kamera láttán jellemzően nem számítanak arra, hogy személyes beszélgetéseiket vagy telefonhívásaikat is felveszik. A hangrögzítés emellett nem bizonyult igazolhatóan alkalmasnak a hivatkozott célok (utaspanaszok kivizsgálása, a munkavállalók védelme, illetve a rendészeti intézkedések ellenőrzése) elérésére.
A Hatóság azt is figyelembe vette, hogy 2019. április 26-tól az Szsztv. már nem biztosított általános felhatalmazást a megállóhelyeken történő hangrögzítésre. Az adatkezelő ennek ellenére nem vizsgálta felül érdemben gyakorlatát, hanem fokozatosan bővítette a hangrögzítéssel érintett helyszínek körét: 2023 végére már 19 HÉV-állomáson és megállóhelyen működtek ilyen kamerák.
A NAIH ezért arra jutott, hogy az adatkezelő nem igazolta, hogy a céljainak elérésére nem állt rendelkezésre kevésbé beavatkozó megoldás. A hangrögzítés nem korlátozódott kiemelt kockázatú helyszínekre vagy konkrét eseményekre, hanem valamennyi, a kamerák érzékelési körébe kerülő személyre (így gyermekekre is) automatikusan kiterjedt. Mindezek alapján a Hatóság megállapította, hogy az adatkezelő a szükségesnél szélesebb körben kezelt személyes adatokat, ezért megsértette a GDPR 5. cikk (1) bekezdés c) pontjában rögzített adattakarékosság követelményét.
VI.2. A hangrögzítés jogalapja tekintetében
A NAIH megállapította, hogy a MÁV-HÉV Zrt. 2020. november 30. és 2024. november 27. között megfelelő jogalap nélkül végzett élő hangtovábbítást és hangrögzítést egyes HÉV-állomásokon és megállóhelyeken. Az adatkezelő a kamerás megfigyelés jogalapjaként egyrészt a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdekre, másrészt az Szsztv. rendelkezéseire hivatkozott. A Hatóság azonban egyik jogalapot sem fogadta el a hangrögzítés vonatkozásában.
A NAIH szerint a jogos érdekre alapított adatkezeléshez valós, konkrét és helyszínenként elvégzett érdekmérlegelésre lett volna szükség. Az adatkezelő által készített érdekmérlegelési teszt ezzel szemben általánosságban, valamennyi kamerára és megállóhelyre egységesen vizsgálta a hangrögzítést és nem értékelte azt, hogy valóban minden helyszínen és minden időszakban szükséges-e hangot rögzíteni. Nem kapott megfelelő súlyt az utasok észszerű elvárása sem. A megállóhelyeken tartózkodó személyek egy kamerás megfigyelésre figyelmeztető jelzés alapján nem feltétlenül számíthattak arra, hogy beszélgetéseiket és telefonhívásaikat is rögzítik.
A törvényi felhatalmazásra történő hivatkozást azért utasította el a Hatóság, mert az Szsztv. törvény 2019. április 26-tól a vizsgált helyszíneken már nem tette lehetővé a hangfelvétel készítését. A MÁV-HÉV ennek ellenére csaknem négy éven keresztül folytatta a hangrögzítést és az élő hangtovábbítást, így a közfeladatának törvényi keretein túlterjeszkedett. A hangrögzítés 2024. november 27-i leállítása ráadásul közvetlenül egybeesett a hatósági eljárás megindításával és a helyszíni szemle elrendelésével.
A NAIH végső következtetése szerint az adatkezelő sem azt nem igazolta, hogy a hangrögzítés közfeladata ellátásához szükséges volt, sem azt, hogy saját jogos érdekei elsőbbséget élveztek az érintettek magánszférához és személyes adataik védelméhez fűződő jogaival szemben. Mivel más alkalmazható jogalapot sem lehetett azonosítani, a Hatóság megállapította, hogy a hangrögzítés és a hanggal együtt történő megfigyelés a teljes vizsgált időszakban jogalap nélkül történt, és ezzel az adatkezelő megsértette a GDPR 6. cikk (1) bekezdését.
VI.3 A hatásvizsgálat hiánya tárgyában
A NAIH megállapította, hogy a MÁV-HÉV Zrt. 2020. november 30. és 2024. november 27. között elmulasztotta a kötelező adatvédelmi hatásvizsgálat elvégzését a HÉV-állomásokon és megállóhelyeken működtetett kép- és hangrögzítő kamerarendszerek kapcsán. A Hatóság hangsúlyozta, hogy a nyilvános helyek nagymértékű és módszeres megfigyelése a GDPR 35. cikk (3) bekezdés c) pontja alapján kifejezetten olyan adatkezelésnek minősül, amely előtt adatvédelmi hatásvizsgálatot kell végezni. Ennek során az adatkezelőnek fel kellett volna mérnie az adatkezelés szükségességét és arányosságát, az érintettek jogaira és szabadságaira gyakorolt kockázatokat, valamint az ezek csökkentésére szolgáló technikai és szervezési intézkedéseket.
A NAIH szerint a hatásvizsgálati kötelezettséget több körülmény is egyértelművé tette: a megfigyelés nyilvánosan hozzáférhető helyszíneken, előre tervezetten és folyamatosan zajlott, nagyszámú utast érintett, hosszú időn keresztül és több állomásra kiterjedően működött, továbbá a képfelvételek mellett hangot is rögzített. A Hatóság kiemelte, hogy a hatásvizsgálatot az adatkezelés megkezdése előtt kellett volna elkészíteni, mivel annak éppen az a rendeltetése, hogy még a rendszer bevezetése előtt feltárja a kockázatokat, és segítse a beépített adatvédelem érvényesülését.
Az adatkezelő által korábban készített érdekmérlegelési teszt nem pótolta az adatvédelmi hatásvizsgálatot.
Mindezek alapján a Hatóság megállapította, hogy az adatkezelő megsértette a GDPR 35. cikk (1) bekezdését. A döntés egyúttal arra is figyelmeztet, hogy a 2025-től ismét lehetővé tett hangrögzítés sem alkalmazható automatikusan: nyilvános helyek nagymértékű, módszeres megfigyelése esetén továbbra is előzetes adatvédelmi hatásvizsgálatra van szükség.
VI.4. A korlátozott tárolhatóság elvével kapcsolatban
A NAIH megállapította, hogy a MÁV-HÉV Zrt. 2023. június 26. és 2024. december 18. között megsértette a GDPR korlátozott tárolhatóságra vonatkozó elvét. A jogsértés lényege az volt, hogy az adatkezelő a hatóságok vagy bíróságok részére korábban kimentett kamerafelvételek másolatait a szükségesnél hosszabb ideig őrizte meg, és nem alakított ki olyan következetes törlési és felülvizsgálati gyakorlatot, amely biztosította volna a felvételek időben történő megsemmisítését.
A Hatóság helyszíni szemléje során olyan kép- és hangfelvételeket talált, amelyeket valamely nyomozó hatóság korábban lefoglalt, azonban azok másolatai továbbra is az adatkezelő rendszerében maradtak. Egyes felvételeket több mint egy évig tárolták.
Az Szsztv. 2023. június 26-án hatályba képett módosításával a jogszabályi környezet egyértelművé vált: ettől az időponttól a bíróság vagy hatóság részére megküldött felvételeket főszabály szerint a továbbítást követő 90. napon törölni kellett. Hosszabb megőrzésre csak meghatározott esetekben, például belső vizsgálat vagy érintetti kérelem miatt kerülhetett sor. A MÁV-HÉV Zrt. azonban a módosítást követően nem vizsgálta felül érdemben sem korábbi tárolási gyakorlatát, sem a régi adatkezelési tájékoztatóját, így a felvételek továbbra is indokolatlanul megmaradtak.
A NAIH ezért megállapította, hogy az adatkezelő a tárolási határidők túllépésével, valamint a megfelelő törlési és felülvizsgálati rendszer hiányával megsértette a GDPR 5. cikk (1) bekezdés e) pontját.
VII. Összegzés
A döntés rámutat arra, hogy a 2025-től módosult jogszabályi környezet nem jelent automatikus felhatalmazást a hangrögzítés alkalmazására. A közlekedési szolgáltatóknak és más, kamerarendszereket üzemeltető szervezeteknek továbbra is a GDPR alapelveinek megfelelően kell kialakítaniuk adatkezelési gyakorlatukat, és különös körültekintéssel kell megítélniük minden olyan adatkezelést, amely a képfelvételen túl hangfelvétel készítésére is kiterjed.
Nyilvános helyek nagymértékű, módszeres megfigyelése esetében mindig adatvédelmi hatásvizsgálatot kell készíteni, illetve az adatkezelő jogos érdekén alapuló adatkezelésnél pedig megfelelő érdekmérlegelési teszttel kell alátámasztani azt.
A cikk a NAIH-1589-19/2025 számú határozata alapján készült.
Dr. Miklós Péter – adatvédelmi jogász
Dr. Varga Benedek