Egyészségügyi adatok kezelésének szigorú szabályai

Az immáron lassan 3. éve alkalmazandó a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló az Európai Parlament és a Tanács (EU) 2016/679 rendelete („GDPR”), amely 9. cikk (1) bekezdése kimondja, hogy a személyes adatok különleges kategóriáinak kezelése – többek között az egészségügyi adatok is tartoznak – főszabály szerint tilos.

Felmerül a kérdés, hogy akkor a kórházak és egyéb egészségügyi intézmények hogyan kezelhetnek mégis ilyen adatokat. Erre ad választ a GDPR 9. cikk (2) bekezdése, ahol kivételeket fogalmaz meg, hogy milyen adatkezelési jogalapon felüli jogalapon kezelhetnek az adatkezelők egészségügyi adatokat. Fontos kiemelni, hogy amennyiben a kivételek alapján kezelhetjük az egészségügyi adatokat, abban az esetben olyan technikai és szervezési intézkedéseket kell alkalmaznunk, amely alapján biztosítjuk ezen érzékeny adatok biztonságát. Az adatkezelés biztonságára vonatkozó követelményeket a GDPR 32. cikk fogalmazza meg.

Ezen követelményt sértette meg és kapott bírságot a Budapest Főváros Kormányhivatal XI. Kerületi Hivatala, az alábbi incidens kapcsán.

Budapest Főváros Kormányhivatal XI. Kerületi Hivatal, Hatósági Osztály, Népegészségügyi Főosztálya (Hivatal) 2020. április 14-én a főváros XI., XII., XXII. kerületében dolgozó háziorvosoknak címzett e-mailt küldött el, melyhez egy Excel formátumú táblázatban mellékelték az Országos Mentőszolgálat által gyűjtött Covid-19 világjárványhoz kapcsolódó minták eredményeit, 1153 beteg személyes adataival, panaszaival együtt. Azonban valamilyen oknál fogva nem csak a háziorvosok kapták meg a beteg adatokat is tartalmazó emailt, mert az incidenst bejelentője egy magánszemély volt.

A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) megkeresésére a Hivatal kikérte a Budapest Főváros Kormányhivatal adatvédelmi tisztviselőjének véleményét, aki szerint a táblázat elküldése előtt az abban szereplő adatokat körzetenként le kellett volna válogatni és külön-külön megküldeni a háziorvosoknak, mivel az adott háziorvos csak a vele orvos-páciens viszonyban lévő érintettek adatait ismerhette volna meg. Emellett kiemelte, hogy az adatvédelmi incidens nem járt kockázattal a természetes személyek jogaira, így a GDPR 33. cikk (1) bekezdése szerint az incidens bejelentését a Hatóság irányába nem tartották indokoltnak, továbbá nem tartották szükségesnek az érintettek értesítését sem.

A NAIH a fentiekkel eltérő álláspontja szerint, a Hivatal nem alkalmazott a GDPR 32. cikk (1)-(2) bekezdése által előírt megfelelő technikai és szervezési intézkedéseket (pl.: álnevesítés, titkosítás) az egészségügyi adatok bizalmasságának megőrzése érdekében az adattovábbítás során. Továbbá az incidens kockázat besorolásánál nem vették figyelembe a GDPR (75) preambulumbekezdését, amely szerint az olyan adatkezelést, amely során nagy számban egészségügyi adatokat kezelnek alapvetően kockázatosnak tekinti, illetve az olyan adatok adatkezelését, amelyekből személyiség-lopás, vagy személyazonossággal való visszaélés fakadhat, szintén kockázatosnak ítéli meg. A NAIH megítélése szerint a nagyszámú, összesen 1153 érintett egészségügyi adatainak kezelése magas kockázatúnak tekinthető az általános adatvédelmi rendelet fenti előírásai alapján. A táblázatban szereplő adatkör rendkívül széles, gyakorlatilag teljesen egyedileg azonosíthatóvá tesz egy-egy pácienst, az adatok alapján sokszor konkrét diagnózis állítható fel a kezelt személlyel kapcsolatban. Az ilyen adatok megfelelő biztonsági intézkedések nélküli megosztása harmadik felekkel rendkívül magas kockázatokkal jár az érintettek magánszférájára nézve. A Hivatal – a NAIH álláspontjától eltérően – a kockázatelemzése során nem a megfelelő kategóriába sorolták az incidenst, ezért elmulasztották és ezzel megsértették a GDPR 33. cikk (1) bekezdése alapján a NAIH felé az incidens bejelentését és a GDPR 34. § (1) bekezdése alapján az érintettek tájékoztatását is.

A NAIH a határozata alapján a Hivatalt, a fenti incidens kapcsán 10.000.000,- Ft-os adatvédelmi bírság megfizetésére kötelezte.

Elektronikus aláírás a gyakorlatban

Manapság egyre gyakrabban merül fel az elektronikus aláírás alkalmazhatóságának a kérdése. Főleg üzleti körökben az már nagyjából közismert, hogy lehet használni elektronikus aláírást dokumentumok hitelesítésére. Viszont a gyakorlati alkalmazás mikéntjével még nagyon kevesen vannak tisztában. Ráadásul az egyébként rendelkezésre álló jogszabályi szabályozás ellenére, vannak olyan (pl. pénzügyi) szolgáltatók, amelyek még nem fogadják el az elektronikus aláírást. Jogosan merül fel a kérdés, hogy ha fizetni lehet elektronikusan aláírni miért nem?

Az okiratok bizonyító erejét, vagyis azt, hogy az adott dokumentumot egyes hatóságok mennyiben fogadnak el hitelesnek a Polgári perrendtartásról szóló törvény (Pp.) határozza meg. Ezek alapján megkülönböztetünk közokiratot, teljes bizonyító erejű magánokiratot és egyszerű magánokiratot.

Itt mellékesen érdemes lehet még megemlíteni azokat az iratokat, amik egyáltalán nem minősülnek okiratnak az írásbeliség hiánya okán. Ez alapvetően azt jelenti, hogy azok az iratok, amik egyáltalán nem tartalmaznak aláírást vagy bármilyen olyan elektronikus megjelölést, ami az iratban megjelölt személyhez lenne köthető. Ugyan a Polgári Törvénykönyv kimondja, hogy írásba foglaltnak kell tekinteni a jognyilatkozatot akkor is, ha annak közlésére a jognyilatkozatban foglalt tartalom változatlan visszaidézésére, a nyilatkozattevő személyének és a nyilatkozat megtétele időpontjának azonosítására alkalmas formában kerül sor, azonban egy egyszerű e-mail esetében bármelyik fél könnyedén vitathatja, hogy a nyilatkozat valóban tőle származott és így bizonyító erő nem kapcsolódik az ilyen iratokhoz.

Ugyan közokiratok is létrehozhatók elektronikus formában azonban jelen összefoglaló tekintetében a megfelelő hatósági gyakorlat.

A Pp. rendelkezései alapján teljes bizonyító erejű a magánokirat többek között, ha:

  • az elektronikus okiraton az aláíró a minősített vagy minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírását vagy bélyegzőjét helyezte el, és – amennyiben jogszabály úgy rendelkezik – azon időbélyegzőt helyez el,
  • az elektronikus okiratot az aláíró a Kormány rendeletében meghatározott azonosításra visszavezetett dokumentumhitelesítés szolgáltatással hitelesíti, vagy
  • olyan, törvényben vagy kormányrendeletben meghatározott szolgáltatás keretében jött létre, ahol a szolgáltató az okiratot a kiállító azonosításán keresztül a kiállító személyéhez rendeli és a személyhez rendelést a kiállító saját kezű aláírására egyértelműen visszavezethető adattal együtt vagy az alapján hitelesen igazolja; továbbá a szolgáltató az egyértelmű személyhez rendelésről kiállított igazolást elektronikus dokumentumba kapcsolt, elválaszthatatlan záradékba foglalja és azt az okirattal együtt legalább fokozott biztonságú elektronikus bélyegzővel és legalább fokozott biztonságú időbélyegzővel látja el.

Egyszerű magánokiratnak minősül minden olyan okirat, ami a Pp. teljes bizonyító erejű a magánokiratra vonatkozó követelményeinek nem felel meg.

Ezek alapján tehát ahhoz, hogy a Pp. alapján egy dokumentum teljes bizonyító erejű magánokiratnak minősüljön az alábbi három kritériumok egyikének teljesülnie kell:

  • okiraton minősített vagy minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírás vagy bélyegző szerepel
  • okirat azonosításra visszavezetett dokumentumhitelesítés szolgáltatással került hitelesítésre (AVDH)
  • szolgáltatás legalább fokozott biztonságú elektronikus bélyegzővel és legalább fokozott biztonságú időbélyegzővel lett ellátva

A gyakorlatban ez a három lehetőség az alábbiak szerint érvényesülhet.

eSzemélyi elektronikus aláírás

  1. január 01. óta ilyen aláírást bárki igényelhet és minősített elektronikus aláírással láthatja el a dokumentumait. Azonban fontos kiemelni az eSzemélyi kapcsán, hogy az eSzemélyi-hez kiadott tanúsítványt (illetve a kapcsolódó magánkulcsot) Aláíró csak magáncélra használhatja fel; ezek használata bármilyen üzleti, munkahelyi vagy egyéb szakmai tevékenység céljából nem megengedett a kormányzati hitelesítési szolgáltató tájékoztatása alapján.

Elektronikus aláírási szolgáltatások

Ahogy azt a növekvő igény is diktálja egyre több elektronikus aláírási szolgáltatást nyújtó szervezet jelenik meg a piacon. Itthon a legismertebb és legelterjedtebb ilyen szolgáltatók a Microsec Zrt és az eSzigno program, illetve a Netlock Kft. NETLOCK, valamint egy magyar startup Trustchain alkalmazása. Nemzetközi szolgáltatók közül itthon leginkább a francia DocuSign alkalmazás elterjedt. A szolgáltatók kiválasztásánál érdemes mérlegelni azt, hogy mire is van szükségünk egy elektronikus aláírás kapcsán, csak személyes használatra vagy üzleti célra is felhasználásra kerül? Elérhető-e mobil aláírás és milyen rendszeren? Milyen egyéb programokat támogat az aláírás? Mindkét félnek rendelkeznie kell-e a programmal a dokumentum aláírásához?

A példaként említett szolgáltatók közül a NETLOCK biztosít ingyenes alkalmazást személyes felhasználóknak. Az eSzignó csomag alapú rendszere lehetőséget biztosít arra, hogy a megfelelő szolgáltatási szintet tudja kiválasztani a felhasználó, a fókusz azonban egyértelműen az üzleti felhasználáson van. A DocuSign szintén nem biztosít ingyenes verziót, azonban lehetőséget ad arra, hogy a felhasználó által küldött dokumentumot nem előfizető személy is alá tudja írni.

Az AVDH szolgáltatást mindenki igénybe veheti, aki rendelkezik Ügyfélkapu hozzáféréssel. Jelenleg az AVDH a végintézkedésen és ingatlan-nyilvántartást érintő jognyilatkozatokon kívül minden jognyilatkozat aláírására is alkalmas. További előny, hogy az AVDH-hitelesítés kombinálható, más hiteles aláírási formákkal. A Szolgáltatás tehát ingyenes és mindenki számára elérhető, aki Ügyfélkapu hozzáféréssel rendelkezik és azzal teljes bizonyítóerejű magánokiratot hozható létre.

Fontos kiemelni továbbá, hogy az Igazságügyi Minisztérium állásfoglalása alapján az AVDH hitelesítés alkalmazható-cégképviseletre, tehát társaság vezető tisztségviselői is tudnak érvényesen jognyilatkozatot tenni az AVDH szolgáltatás alkalmazásával, az AVDH érvényes és hatályos cégjegyzésnek minősül.

Összegezve azt mondhatjuk, hogy nem csak lehetséges elektronikus aláírást alkalmazni, hanem az egyre egyszerűbb és kézzelfoghatóbb is. Az AVDH szolgáltatás véleményünk szerint kiemelkedően jól hozzáférhető és alkalmazható akár személyes akár üzleti ügyek vitele során és remélhetőleg hozzájárul majd ahhoz, hogy a teljes mértékben elektronikus ügyintézés itthon is nagyobb teret nyerjen.

Teljesítésigazolás pdf-ben

Igazolhatom a teljesítésemet elektronikusan? A gyakorlatban gyakran felmerül, hogy értékesítés esetén a számlázás során a teljesítés igazolására alkalmas-e egy pdf dokumentum vagy van-e olyan előírás, amely papír alapú teljesítési igazolást követel meg egy számla mellékleteként.

A teljesítésigazolás kiállítására nincs konkrét jogszabályi előírás. Áru adásvételnél gyakran szállítólevél igazolja a teljesítést, amely alapján kerül sor a számla kiállítására.

Nézzünk egy általános példát, egy cég építőanyagokat forgalmaz, amelyet ki kell szállítania a vevő részére egy építkezésre. A vevő havonta utólag, összesítve fizeti ki az adott hónapban szállított áru ellenértékét. A környezetvédelem jegyében az eladó nem papír alapú szállítólevelet készít elő, hanem egy pdf dokumentumot, amelyet az eladó és a vevő között létrejött szerződés alapján mind két fél által használt szoftver (alkalmazás) generál. Az alkalmazás biztosítja, hogy a létrehozott pdf dokumentum (jelen esetben a szállítólevél) a rendszerben később nem módosítható. A pdf dokumentumot a vevő egy tablet segítségével és a programhoz tartozó fiókjával „aláírja”, és ezzel igazolja, hogy a teljesítés megtörtént.

Tehát a szóban forgó teljesítés megtörténtét a zárt rendszerben létrehozott, és ott elfogadott teljesítési igazolás (szállítólevél) alátámasztja úgy, hogy a gazdasági esemény releváns körülményei minden kétséget kizáróan megállapíthatók kívülállók számára is. A zárt rendszer útján biztosított továbbá a szállítólevél alaki és tartalmi hitelessége, megbízhatósága.

Vajon megfelelő-e ez az eljárás adójogi szempontból? Elegendő-e, hogy a cég egy alkalmazáshoz tartozó fiókon keresztül, elektronikusan „aláírt” teljesítési igazolással rendelkezik?

A számvitelről szóló 2000. évi C törvény („Számv. tv.”) 166. § (1) bekezdése határozza meg a számviteli bizonylat fogalmát, amelybe beletartozik a teljesítési igazolás, jelen esetben a szállítólevél is. Az (1) bekezdésben foglaltak alapján a számviteli bizonylat egyéb módon, azaz elektronikusan is előállítható.

A Számv. tv. 167. § (5) bekezdés pedig kimondja, hogy számviteli bizonylatként alkalmazható elektronikus dokumentum is, ha az megfelel a Számv. tv. előírásainak.

A polgári törvénykönyvről szóló 2013. évi V. törvény 6:7. § (3) bekezdése alapján írásba foglaltnak kell tekinteni a jognyilatkozatot akkor is, ha annak közlésére a jognyilatkozatban foglalt tartalom változatlan visszaidézésére, a nyilatkozattevő személyének és a nyilatkozat megtétele időpontjának azonosítására alkalmas formában kerül sor. A fenti példa alapján a pdf a vevő által – az alkalmazásban – történt elektronikus aláírása megfelel a jogszabályi követelményeknek.

A fentieket a NAV egyik tájékoztatásában is osztja, továbbá felhívja a figyelmet, hogy teljesítésigazolások kiállítása során, ha azokra semmilyen jogszabály nem tartalmaz kötelező előírást, célszerű kellő körültekintéssel, a rendeltetésszerű joggyakorlás elvének betartása mellett eljárni, és olyan adattartalmat feltüntetni, hogy egy esetleges adóellenőrzés során az igazolás az ügylet okirati bizonyítékaként szolgálhasson.

Speciális áru (pl. jövedéki termékek vagy veszélyes áruk) adásvétele és fuvarozása esetén a fentiek nem feltétlenül alkalmazandók.