27/2021. (VII. 8.) HM utasítás
27/2021. (VII. 8.) HM utasítás
a Honvédelmi Minisztérium adatvédelmi, adatbiztonsági és közérdekű adatok kezelésére vonatkozó szabályzatáról
A jogalkotásról szóló 2010. évi CXXX. törvény 23. § (4) bekezdés c) pontja alapján a következő utasítást adom ki:
1. Általános rendelkezések
1. § Az utasítás hatálya kiterjed a Honvédelmi Minisztériumra (a továbbiakban: HM), a HM személyi állományára, valamint a HM adatkezelése során felhasznált minden tárgyi eszközre függetlenül annak üzemelési helyétől, továbbá minden helyszínre, ahol HM általi adatkezelés folyik.
2. § Az utasítást a HM tevékenysége során keletkező közérdekű adatokra, közérdekből nyilvános adatokra és a személyes vagy különleges adatokhoz kapcsolódó adatkezelésre – ideértve az adatfeldolgozást is – alkalmazni kell.
3. § Az utasítás rendelkezéseit a személyes adatok védelmével és a közérdekű adatok nyilvánosságával összefüggő feladatok irányításáról és felügyeletéről, valamint az ezekhez kapcsolódó egyes tevékenységek eljárási rendjéről szóló 2/2019. (I. 24.) HM utasításban (a továbbiakban: Adatvédelmi HM utasítás) foglaltakra figyelemmel kell alkalmazni, azzal, hogy
a) az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) hatálya alá tartozó honvédelmi célú adatkezelésekre (a továbbiakban: az Infotv. hatálya alá tartozó adatkezelések) – a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: EU rendelet) 23. cikke szerinti korlátozásokra figyelemmel – az Infotv.,
b) az a) pont alá nem tartozó adatkezelésekre (a továbbiakban: az EU rendelet hatálya alá tartozó adatkezelések) az EU rendelet – az Infotv. 2. § (2) bekezdése szerinti kiegészítésekkel –
az irányadó.
4. § Az utasítást legalább évente felül kell vizsgálni. A felülvizsgálatot a HM adatvédelmi és információszabadsággal összefüggő feladatokat ellátó szervezeti egysége (a továbbiakban: szakmai szerv) végzi el.
5. § (1) Az utasítás alkalmazása során az EU rendeletben, valamint az Infotv.-ben rögzített fogalmakat kell alkalmazni.
(2) Az (1) bekezdésben meghatározottakon túl, az utasítás alkalmazásában
a) adatbiztonság: a személyes adatok jogosulatlan kezelése, elvesztése, megsemmisítése vagy károsodása elleni szervezési, technikai megoldások és eljárási szabályok összessége, valamint az adatkezelés azon állapota, amelyben a kockázati tényezőket – és ezáltal a fenyegetettséget – az alkalmazott védelmi intézkedések a minimálisra csökkentik,
b) HM adatközlő: az Adatvédelmi HM utasítás 3. § d) pontjában meghatározott szervezeti egység,
c) önálló szervezeti egység: a HM szervezeti és működési szabályzatában így meghatározott szervezeti egység,
d) statisztikai adat: a személyes adat oly módon történő feldolgozása, hogy az adatnak az egyes személyekkel minden kapcsolata megszakad, és ez a kapcsolat nem is állítható helyre.
2. Az adatkezelő adatai
6. § (1) Az adatkezelő
a) megnevezése: Honvédelmi Minisztérium,
b) székhelye: 1055 Budapest, Balaton utca 7–11.,
c) levelezési címe: 1885 Budapest, Pf. 25,
d) telefonszáma: 06-1-474-1111,
e) e-mail-címe: adatvedelem@hm.gov.hu,
f) jogállása: közfeladatot ellátó szerv.
(2) Ahol az utasítás adatkezelőt említ, ott a HM-et kell érteni.
7. § (1) Az adatkezelő vezetője a honvédelemért felelős miniszter (a továbbiakban: miniszter).
(2) Az adatkezelő biztosítja az adatvédelmi és az információszabadsággal kapcsolatos tevékenységhez szükséges erőforrásokat.
3. Az adatvédelmi tisztviselő
8. § (1) A miniszter a HM szervezeti és működési szabályzatában meghatározott végzettségű személyt jelöl ki adatvédelmi tisztviselőnek.
(2) Az adatvédelmi tisztviselő szakmai feladatai tekintetében közvetlenül jelent a miniszternek a közigazgatási államtitkár, a jogi és igazgatási ügyekért felelős helyettes államtitkár és a HM Jogi Főosztály (a továbbiakban: HM JF) vezetője egyidejű tájékoztatása mellett.
(3) Az adatvédelmi tisztviselő feladatait az Adatvédelmi HM utasításban meghatározottak szerint látja el, és azokat a munkaköri leírásában vagy a beosztási okiratában kell rögzíteni. Az adatvédelmi tisztviselő távolléte esetén feladatait a miniszter által kijelölt helyettese végzi.
(4) Az adatvédelmi tisztviselőre vonatkozó összeférhetetlenségi szabályok, valamint a tevékenysége ellátását biztosító források tekintetében az Adatvédelmi HM utasításban foglaltak az irányadók.
(5) Az adatvédelmi tisztviselő nevét, elérhetőségeit a HM adatközlő közzéteszi a HM hivatalos honlapján, továbbá megküldi azt a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH) részére is.
9. § Az adatvédelmi tisztviselő az Adatvédelmi HM utasítás 1–8. mellékletében meghatározott nyilvántartásokat elektronikusan vezeti és aktualizálja.
10. § (1) Az adatvédelmi tisztviselő minden év november 15-ig ellenőrzési tervet készít, amelyet a miniszter hagy jóvá.
(2) Az adatvédelmi tisztviselő ellenőrzéseit az éves tervnek megfelelően köteles végrehajtani, azok eredményéről, amennyiben elöljárói vagy hivatali felettesi intézkedésre okot adó körülményt észlel, jelentést készít a miniszter részére.
(3) Az ellenőrzéseket az Adatvédelmi HM utasítás 3. alcímében meghatározottak szerint, de a (2) bekezdésben szereplő eltérésekkel kell lefolytatni.
(4) Az adatvédelmi tisztviselő az éves jelentés részeként az ellenőrzések összegzett tapasztalatairól beszámol a miniszter részére.
(5) Az adatvédelmi tisztviselő legalább évente egyszer oktatást tart.
11. § A személyes adatra vonatkozó egyedi megkeresést meg kell küldeni az adatvédelmi tisztviselőnek. A személyes adat kérelemre történő kiadása előtt szükséges az adatvédelmi tisztviselőt értesíteni, és vele egyeztetni.
4. Az adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység, az adatvédelmi kapcsolattartó és az adatvédelmi csoport
12. § (1) Az adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység vezetője felel a szervezeti egység által végzett adatkezelési műveletek jogszerűségéért különösen
a) az érintettek tájékoztatásáért,
b) az adatkezelések bejelentéséért az adatvédelmi tisztviselő részére,
c) a kockázatelemzés elvégzéséért,
d) adott esetben az érdekmérlegelés és a hatásvizsgálat elvégzéséért,
e) az adatkezelések rendszeres felülvizsgálatáért.
(2) Az adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység vezetője az (1) bekezdésben meghatározott feladatok végrehajtása érdekében szakmai segítséget kérhet az adatvédelmi tisztviselőtől, aki köteles a szükséges segítséget ehhez megadni.
(3) Az önálló szervezeti egység vezetője adatvédelmi tisztviselőnek nem minősülő adatvédelmi kapcsolattartót, annak távolléte idejére eseti helyettest jelöl ki a vezetése alá tartozó önálló szervezeti egységnél, és erről az adatvédelmi tisztviselőt értesíti.
(4) Az adatvédelmi kapcsolattartó az Infotv. 25/M. § (1) bekezdés a) pontjában és az EU rendelet 39. cikk (1) bekezdés a) pontjában meghatározott feladatok ellátásához nyújt segítséget az adatvédelmi tisztviselőnek.
(5) Az adatvédelmi kapcsolattartó a (4) bekezdésben meghatározott feladatok ellátásának elősegítése érdekében különösen a következőket végzi:
a) az önálló szervezeti egység vezetőjének egyidejű tájékoztatása mellett folyamatosan nyomon követi az önálló szervezeti egység adatkezeléseit,
b) előkészíti és átadja az adatvédelmi tisztviselőnek az adatkezelés dokumentálásához szükséges iratokat,
c) a tudomására jutott, az érintetti jogokkal kapcsolatos kérelmek tekintetében összegyűjti a releváns információkat, és az adatvédelmi tisztviselő rendelkezésére bocsátja,
d) haladéktalanul tájékoztatja az adatvédelmi tisztviselőt az önálló szervezeti egységnél bekövetkezett, tudomására jutott incidensről,
e) összegyűjti a releváns információkat az önálló szervezeti egység vezetője részére az önálló szervezeti egység adatkezelését érintő kockázatelemzés elkészítéséhez, és
f) az adatvédelmi tisztviselő javaslata esetén részt vesz az önálló szervezeti egységet érintő hatásvizsgálat lefolytatásában.
(6) Amennyiben minősített adat készítése és kezelése során személyes adatok érintettek, az adott eljárásban az önálló szervezeti egység vezetője által kijelölt ügyintéző köteles az adatvédelmi kapcsolattartó rendelkezésére bocsátani az (5) bekezdésben felsorolt feladatok ellátásához szükséges információkat.
(7) A HM – az adatvédelemmel összefüggő feladatai végrehajtásának elősegítése érdekében – adatvédelmi csoportot hoz létre, melynek tagjai az adatvédelmi tisztviselő mellett
a) az önálló szervezeti egység adatvédelmi kapcsolattartója,
b) a HM informatikáért felelős nem önálló szervezeti egység vezetője vagy az általa kijelölt személy,
c) a HM elektronikus információs rendszer biztonságáért felelős személy és
d) az Adatvédelmi HM utasítás által meghatározott szakmai szerv tagjai.
(8) Az adatvédelmi csoportot az adatvédelmi tisztviselő évente két alkalommal vagy szükség esetén hívja össze.
(9) Az adatvédelmi tisztviselő az adatvédelmi csoport tagját felkérheti – az elöljárójuk vagy hivatali felettesük előzetes egyetértése esetén – a (4) bekezdésben meghatározott feladatokhoz tartozó részfeladatok ellátására.
5. Az adatvédelem alapelvei
13. § Adatkezelés
a) az EU rendelet hatálya alá tartozó adatkezelések esetében – az Infotv. 4. § (5) bekezdésében meghatározott kiegészítéssel – az EU rendelet 5. cikkében és
b) az Infotv. hatálya alá tartozó adatkezelések esetében az Infotv. 4. §-ában
meghatározott alapelvek fennállása esetén végezhető.
6. Az adatkezelések feltételei
14. § (1) A személyes adat kezelésének feltétele, hogy annak célja egyértelműen és közérthetően meghatározásra kerüljön.
(2) Az adatkezelés (1) bekezdés szerinti céljának jogszerűnek és az adatok gyűjtésének időpontjában már megfogalmazottnak kell lennie. Az adatkezelés megkezdése előtt meg kell vizsgálni, hogy a meghatározott cél adatkezelés nélkül megvalósulhat-e.
(3) A kezelt személyes adatoknak alkalmasnak és szükségesnek kell lenniük a meghatározott adatkezelési cél eléréséhez. Kizárólag annyi adatot lehet kezelni, amennyi a cél eléréséhez szükséges.
(4) A személyes adatokat a lehető legrövidebb ideig lehet tárolni, ennek érdekében törlési vagy rendszeres felülvizsgálati határidőket kell megállapítani. A személyes adatokat az egyes adatkezelések esetében a cél megvalósulásáig, valamint azt követően az adott adatkörre vonatkozó jogszabályban meghatározott ideig lehet megőrizni.
15. § (1) Az EU rendelet hatálya alá tartozó adatkezelések az EU rendelet 6. cikk (1) bekezdésében meghatározott jogalapok valamelyikének fennállása esetén végezhetők. Az EU rendelet 6. cikk (1) bekezdés f) pontjában meghatározott jogalap a HM közhatalmi feladatai ellátása során történő adatkezelések tekintetében nem alkalmazható.
(2) Az Infotv. hatálya alá tartozó adatkezelések az Infotv. 5. §-ában meghatározott jogalapok valamelyikének fennállása esetén végezhetők el.
16. § (1) Az EU rendelet 6. cikk (1) bekezdés f) pontja alkalmazása esetén érdekmérlegelési teszt elkészítése szükséges, amelybe az adatvédelmi tisztviselőt be kell vonni.
(2) Az érdekmérlegelési teszt elkészítése az adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység vezetőjének felelősségi körébe tartozik. Az érintettet az érdekmérlegelés tényéről és a teszt eredményéről tájékoztatni kell. Az érdekmérlegeléssel összefüggő tevékenységet dokumentálni kell, és az ezzel kapcsolatos iratokat az adatvédelmi tisztviselő részére át kell adni.
(3) Az érdekmérlegelési teszt elvégzésének eljárási rendje a következő:
a) a HM vagy egy harmadik fél jogos érdekének beazonosítása és megfogalmazása,
b) az érintett érdekeinek, jogainak és szabadságainak beazonosítása és megfogalmazása,
c) a mérlegelés elvégzése, miszerint az a) és b) pontban azonosított érdekek közül melyik minősül erősebbnek, és
d) a HM vagy egy harmadik fél jogos érdekének az érintett személyek jogaira és szabadságaira vonatkozó arányos korlátozás meghatározása.
(4) A (3) bekezdés d) pontja szerinti meghatározás során vizsgálni kell különösen
a) az adatkezelés szükségességét, arányosságát és annak indokát,
b) a célhoz kötöttség elvének megvalósulását és annak módját,
c) az adatkezelés elveinek és az érintetti jogok érvényesülését.
7. Az érintett jogai és érvényesítésük
17. § (1) Az érintett által az EU rendelet 12. cikk (3) bekezdése, illetve az Infotv. 15. § (1) bekezdés b) pontja szerinti, a HM részére a jogai gyakorlásával kapcsolatos levelet, amennyiben azt nem az adatvédelmi tisztviselőnek címezték, részére haladéktalanul továbbítani szükséges. Amennyiben a levél tartalmi beazonosítása kétséges, úgy azzal kapcsolatban ki kell kérni az adatvédelmi tisztviselő véleményét.
(2) Az érintettet megillető jogokkal kapcsolatos igény érvényesítésének teljesítésére kizárólag az érintettek adatainak védelmét szolgáló adatbiztonsági követelményeket szem előtt tartva, csak a kérelmező megfelelő azonosítása esetén van lehetőség.
(3) Az adatvédelmi tisztviselő az érintett megkeresésére vonatkozó válaszlevél-tervezetet – az EU rendelet hatálya alá tartozó adatkezelés esetén – a legrövidebb időn belül, de legkésőbb a beérkezést követő 20 napon belül felterjeszti jóváhagyás céljából a miniszter részére. A jóváhagyott válaszlevelet az adatvédelmi tisztviselő – távollétében a kijelölt helyettes – megküldi az érintett részére. Az ügyintézési határidő hosszabbítása esetén a felterjesztésre nyitva álló határidő nem lehet több, mint a kérelem beérkezésétől számított 80. nap.
(4) Az Infotv. hatálya alá tartozó adatkezelés esetén az (1) bekezdésben meghatározottak szerint kell eljárni, azzal az eltéréssel, hogy a válaszlevél-tervezetet a kérelem beérkezésétől számított 15 napon belül kell felterjeszteni, és az ügyintézési határidő hosszabbítására nincs lehetőség.
(5) Megalapozatlan vagy egy éven belüli azonos adatkörre vonatkozó kérelem esetén a HM díjat számíthat fel a kérelem teljesítésére tekintettel, vagy – kizárólag az EU rendelet hatálya alá tartozó adatkezelés esetén – a kérelmet elutasíthatja. A költségtérítés alapjául szolgáló díjak vonatkozásában az Adatvédelmi HM utasításban foglaltak az irányadók.
(6) Az önálló szervezeti egység adatvédelmi kapcsolattartója, az adatvédelmi tisztviselő kérelmére, bedolgozást nyújt az (1) bekezdésben foglalt igény érvényesítéssel kapcsolatos eljárásban, valamint a megalapozatlanságra, a túlzó jellegre alapított megtagadás, illetve a költségfelszámolás okának bizonyítása érdekében az eljárásra vonatkozó dokumentumokat bocsát rendelkezésére.
18. § (1) Az EU rendelet hatálya alá tartozó adatkezelések esetén,
a) amennyiben a HM az érintettől szerzi be az adatokat, az EU rendelet 13. cikke szerinti,
b) az a) pontban foglaltaktól eltérő adatszerzés során az EU rendelet 14. cikke szerinti
tájékoztatót kell az érintett részére rendelkezésre bocsátani.
(2) Az (1) bekezdés szerinti tájékoztatót tagoltan, közérthető módon kell megfogalmazni.
(3) Az Infotv. hatálya alá tartozó adatkezelések esetében a 19. § (2) bekezdésében foglalt rendelkezések szerint kell eljárni, azzal az eltéréssel, hogy az érintetteket az Infotv. 16. §-ában meghatározottak szerint kell tájékoztatni.
19. § (1) A HM az EU rendelet hatálya alá tartozó adatkezelések tekintetében az EU rendelet 13. vagy 14. cikke szerinti tájékoztatón túl – az EU rendeletben meghatározott feltételek fennállása esetén – biztosítja az érintettek
a) hozzáférési jogát,
b) helyesbítéshez való jogát,
c) törléshez való jogát,
d) adatkezelés korlátozásához való jogát,
e) adathordozhatósághoz való jogát,
f) tiltakozáshoz való jogát,
g) az EU rendelet 22. cikke szerinti jogát automatizált döntéshozatal, profilalkotás alkalmazása esetén.
(2) A HM az Infotv. hatálya alá tartozó adatkezelések esetében – az Infotv.-ben meghatározott feltételek fennállása esetén – biztosítja az érintettek (1) bekezdés a)–d) pontjában meghatározott és az előzetes tájékozódáshoz való jogát.
(3) Az (1) és a (2) bekezdés alapján benyújtott kérelemben foglaltakat azonnal, de legkésőbb az EU rendeletben vagy az Infotv.-ben meghatározott határidőn belül kell teljesíteni.
20. § (1) Az adatvédelmi tisztviselő feladata, hogy haladéktalanul értesítse a helyesbítés, a korlátozás és a törlés végrehajtásáról az érintettet, továbbá minden olyan címzettet, akinek az adatok adatkezelés céljából továbbításra kerültek.
(2) Az érintett személyes adatai kezelésének megsértésével kapcsolatban indult bármely eljárásról az adatvédelmi kapcsolattartó értesíti az adatvédelmi tisztviselőt. A HM a bizonyítási eljáráshoz szükséges minden lényeges adatot, információt – különösen szabályzatot, naplóbejegyzést – a HM-et képviselő személy részére rendelkezésre bocsát. Az eljárással kapcsolatos feladatokat az adatvédelmi tisztviselő koordinálja.
8. Az adatvédelmi incidens kezelése, jelentése
21. § (1) A NAIH adatvédelmi incidens bejelentő rendszerébe a HM-et az adatvédelmi tisztviselő regisztrálja.
(2) Adatvédelmi incidens gyanúja esetén – a közvetlen elöljáró vagy a hivatali felettes útján – haladéktalanul értesíteni kell az adatvédelmi tisztviselőt, ezzel egyidejűleg az incidensre vonatkozó releváns információkat részére át kell adni. Az adatvédelmi tisztviselő az összegyűjtött információt megküldi az adatvédelmi incidens munkacsoport (a továbbiakban: IMCS) számára, és eljárása során a HM elektronikus rendszert érintő incidens bekövetkeztének gyanúja esetén az Adatvédelmi HM utasítás 20. § (2) bekezdésében foglaltakat is figyelembe veszi.
(3) Az IMCS tagjai
a) az adatvédelmi tisztviselő és
b) az adatvédelmi incidenssel érintett adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység vezetője, valamint
c) elektronikus adatkezelés esetén a HM elektronikus információs rendszer biztonságáért felelős személy,
d) olyan adatkezelés esetén, amely során minősített adatok és rendszerek érintettek, a biztonsági vezető.
22. § (1) Az adatvédelmi tisztviselő – az Adatvédelmi HM utasítás 20. §-ában meghatározott határidő figyelembevételével – észszerű határidőn belül összehívja az IMCS tagjait. Az IMCS munkájában történő részvételre annak tagja – akadályoztatása esetén, maga helyett – más, helyettesítésére jogosult személyt is kijelölhet. Ha a HM adatfeldolgozót vett igénybe, és az adatvédelmi incidens az adatfeldolgozót is érinti, az adatvédelmi tisztviselő egyeztet az adatfeldolgozó képviselőjével a felmerülő kockázatokról és azok esélyeiről, vagy bevonja tagként az IMCS munkájába.
(2) Az IMCS – a szakmai szerv által rendelkezésre bocsátott módszer alkalmazásával – megvizsgálja, hogy
a) a biztonság sérülése érinti-e a személyes adatok biztonságát,
b) kockázatos-e a biztonság sérülése az érintettek jogaira és szabadságaira nézve, különös tekintettel az incidenssel érintett adatok típusára, mennyiségére,
c) milyen intézkedések tehetők a kockázatok csökkentésére,
d) szükséges-e az adatvédelmi incidens bejelentése a NAIH felé, és
e) szükséges-e az érintettek értesítése.
(3) Az IMCS a rendelkezésére álló adatok és az adatkezelés helyszínén végzett elemzés alapján dönt
a) az esemény adatvédelmi incidensnek nyilvánításáról vagy
b) az adatvédelmi incidensnek nyilvánítás mellőzéséről.
(4) Amennyiben az IMCS az eseményt adatvédelmi incidensként értékeli, úgy – a (2) bekezdésben említett módszer alkalmazásával – dönt annak alacsony, közepes vagy magas kockázatáról. Az IMCS a döntéséről az adatvédelmi incidens bekövetkeztéről való tudomásszerzést követő 24 órán belül értesíti – az Adatvédelmi HM utasítás 5. mellékletében meghatározott nyomtatvány szerinti tartalommal – a szakmai szervet.
(5) Az adatvédelmi incidens kockázata
a) alacsony, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve,
b) közepes, ha az adatvédelmi incidens kockázata nem magas, de valószínűsíthetően kockázattal jár az érintettek jogaira és szabadságaira nézve, és a negatív következményeket nem lehet intézkedésekkel hatékonyan elhárítani,
c) magas, ha az adatvédelmi incidens az érintettek jogaira és szabadságaira nézve jelentős vagy akár visszafordíthatatlan következményekkel vagy komoly nehézségekkel jár vagy járhat.
(6) Alacsony kockázatú adatvédelmi incidenst kizárólag az adatvédelmi incidens nyilvántartásban szükséges rögzíteni.
(7) Ha az adatvédelmi incidens közepes vagy magas kockázatú, az IMCS javaslatot tesz az adatkezelő részére az adatvédelmi incidens következményeinek mérséklését célzó intézkedésekre. Ezekben az esetekben az adatvédelmi incidenst az adatvédelmi tisztviselő – távollétében a kijelölt helyettese – az adatkezelő képviselőjének tudomásszerzésétől számított 72 órán belül bejelenti a NAIH részére annak incidensbejelentő rendszerén keresztül. Magas kockázatú adatvédelmi incidens bekövetkeztéről az érintetteket – a megfelelő intézkedés megtétele céljából – tájékoztatni kell. A tájékoztatás megtételéről az adatvédelmi tisztviselő – távolléte esetén a helyettesítésére kijelölt személy – gondoskodik.
(8) Ha a közvetlen tájékoztatás lehetetlen, vagy aránytalan nehézségbe ütközik, a tájékoztatást egyéb módon kell megtenni, különösen az adatkezelő honlapján vagy a helyben szokásos hirdetményi úton.
(9) Az IMCS a tevékenységéről dokumentációt vezet, amelyben részletesen rögzíti a döntések alapjait, körülményeit.
9. A hatásvizsgálat
23. § (1) Az adatkezelést megelőzően az érintett adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység a tervezett adatkezelés kockázatainak megállapítása érdekében előzetes kockázatértékelést végez, amelynek eredményéről tájékoztatja az adatvédelmi tisztviselőt. Az adatvédelmi tisztviselő szakmai tanácsadást nyújt az adatvédelmi hatásvizsgálat elvégzéséhez, valamint nyomon követi az elkészítését.
(2) Az adatkezelést megelőzően hatásvizsgálatot kell végezni,
a) ha az adatkezelés valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve,
b) ha új technológia kerül alkalmazásra,
c) a NAIH által közzétett esetekben.
(3) Az adatkezelés magas kockázatát kell vélelmezni abban az esetben, ha az a NAIH által magas kockázatúnak minősített és közzétett adatkezeléshez hasonló adatkezelés alkalmazásával jár. Az adatkezelés alacsony kockázatát abban az esetben kell vélelmezni, ha az a NAIH által alacsony kockázatúnak minősített és közzétett adatkezeléshez hasonló adatkezelés alkalmazásával jár.
(4) A (2) és (3) bekezdés szerinti esetben az adatvédelmi tisztviselő munkacsoport létrehozására tesz javaslatot az érintett adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység részére.
(5) A munkacsoport vezetője az adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység vezetője. A munkacsoport munkájában való részvételre a vezető a szervezeti egységéből maga helyett – akadályoztatása esetén – más személyt is kijelölhet. A munkacsoport tagjai:
a) az adatvédelmi tisztviselő és
b) a munkacsoport vezetője által az állományából kijelölt személy, valamint
c) elektronikus adatkezelés esetén a HM elektronikus információs rendszer biztonságáért felelős személy,
d) olyan adatkezelés esetén, amely során minősített adatok és rendszerek érintettek, a biztonsági vezető.
(6) A munkacsoport feladata az adatkezelés kockázatainak vizsgálata és értékelése. A hatásvizsgálat elvégzését a munkacsoport az adatkezelés minden elemének figyelembevételével, a szakmai szerv által rendelkezésre bocsátott hatásvizsgálati módszer alkalmazásával végzi el, és ennek alapján hozza meg döntését. A hatásvizsgálat lezárásáig az adatkezelést nem lehet megkezdeni.
(7) Az adatkezelő – a szakmai szervvel történt egyeztetést követően – előzetes konzultációt kezdeményez a NAIH-hal, amennyiben a munkacsoport az adatkezelés magas kockázatát állapítja meg, és a kockázatok csökkentése nem jár eredménnyel.
10. Az adatbiztonság
24. § (1) Az adatbiztonsági és kockázatkezelési előírások részletes meghatározását a honvédelmi tárca információbiztonság politikájáról szóló HM utasítás vonatkozó rendelkezései és a HM-re irányadó informatikai szabályzat tartalmazza.
(2) Az iratkezelésre vonatkozó egyes adatbiztonsági követelményekre a Magyar Honvédség Egységes Iratkezelési Szabályzatának kiadásáról, valamint a Honvédelmi Minisztérium és a Magyar Honvédség Titokvédelmi és Ügyviteli Szabályzata kiadásáról szóló HM utasításban foglaltak az irányadóak.
25. § (1) Az adatkezelő adatkezelései papír alapon és elektronikus formában is történhetnek.
(2) Az adatkezelő a személy azonosítására alkalmas jellegétől megfosztott, újonnan képzett adatokat statisztikák, belső kimutatások és pályázati indikátorok készítésére használhatja fel. Az adatkezelő anonimizálást alkalmaz minden olyan esetben, amikor az anonim adatok is elégségesek, valamint ahol szerződés vagy jogszabály írja elő a statisztikai adatok szolgáltatását.
26. § (1) Az adatok megőrzési ideje adatkezelésenként kerül meghatározásra.
(2) Az adat törlését minden esetben az adatkezelési művelet végrehajtásáért felelős önálló szervezeti egység vezetője köteles kezdeményezni, a törlésről, megsemmisítésről jegyzőkönyvet kell készíteni. A jegyzőkönyv tartalmazza különösen az adatkezelés célját, annak kezdő és befejező időpontját, a törlendő, megsemmisítendő adatok fajtáját és a törlés időpontját, módját, valamint a törlés, megsemmisítés elrendelőjének személyét.
27. § (1) A miniszter, a honvédelmi államtitkár, a közigazgatási államtitkár, a kabinetfőnök, a helyettes államtitkár, a gazdálkodási ügyekért felelős államtitkári főtanácsos, a miniszteri biztos, a nemzeti hadfelszerelési igazgató, a minisztériumi felsővezető titkárságvezetője, a Miniszteri Titkárság vezetője, az adatvédelmi tisztviselő, a biztonsági vezető, az önálló szervezeti egység vezetője és a nem önálló szervezeti egység vezetője kivételével az adatkezeléssel foglalkozó ügyintéző és a segítő (a továbbiakban együtt: ügyintéző) munkaköri leírásának, beosztási okiratának tartalmaznia kell az általa ellátandó adatkezelési tevékenységeket és a jogosultságokat.
(2) Az önálló szervezeti egység ügymenetét úgy alakítja ki, hogy személyes vagy különleges személyes adat kezelésére csak elengedhetetlenül szükséges esetben kerüljön sor, és az adott adatkezelési célból kezelt adatokat csak az adatkezeléssel foglalkozó ügyintézők ismerhessék meg.
(3) Az ügyintéző gondoskodik arról, hogy jogosulatlan személyek ne tekinthessenek be a személyes vagy különleges személyes adatokba, valamint a személyes vagy különleges személyes adat jogosulatlan személy részére ne legyen hozzáférhető, megismerhető, megváltoztatható és megsemmisíthető.
(4) Az ügyintéző a helyiséget, ahol adatkezelés vagy adatfeldolgozás folyik, úgy hagyhatja el, hogy az adathordozók által tárolt adatokat hozzáférhetetlenné teszi, vagy a helyiséget bezárja. A munkavégzés befejeztével gondoskodnia kell az adathordozó elzárásáról vagy az általa tárolt adatok hozzáférhetetlenné tételéről, illetve a helyiség bezárásáról.
11. Az adatfeldolgozás
28. § (1) A HM elláthat adatfeldolgozói tevékenységet, és az adatkezelési tevékenységeihez adatfeldolgozót vehet igénybe. Az adatfeldolgozási tevékenységet szerződésben kell rögzíteni. Az adatfeldolgozásra vonatkozó szerződés előkészítésébe az adatvédelmi tisztviselőt be kell vonni.
(2) Az adatfeldolgozásra vonatkozó szerződésnek tartalmaznia kell különösen
a) az adatkezelő és az adatfeldolgozó megnevezését, elérhetőségét,
b) az adatvédelmi tisztviselő nevét, elérhetőségét, ha az adatfeldolgozó rendelkezik adatvédelmi tisztviselővel,
c) az adatkezelés célját,
d) az adatfeldolgozás jellegét, célját, műveleteinek meghatározását, időtartamát,
e) az adatfeldolgozással érintett adatalanyok kategóriáit, a személyes adatok típusát, körét, mennyiségét,
f) az adatfeldolgozó jogainak és kötelezettségeinek meghatározását, valamint annak rögzítését, hogy az adatfeldolgozó az adatkezelő kifejezett írásos utasításai alapján végezhet adatkezelési műveleteket, valamint az esetlegesen bekövetkező adatvédelmi incidensek esetén követendő szabályok meghatározását,
g) az elvégzett technikai műveletek megnevezését, módját,
h) a feldolgozott személyes adatok további sorsát,
i) annak rögzítését, hogy az adatfeldolgozó igénybe vehet-e további adatfeldolgozót,
j) az adatkezelőt és az adatfeldolgozót terhelő technikai és szervezési intézkedések meghatározását, valamint a megfelelő garanciák igazolását az adatfeldolgozó részéről,
k) az adatfeldolgozó azon alkalmazottai titoktartására vonatkozó rendelkezéseket, akik az adatfeldolgozásban részt vesznek,
l) annak szabályozását, hogy az adatfeldolgozó milyen módon, eljárási rendet követve nyújt segítséget az érintettek jogait érintő kérelmek megválaszolásában,
m) a HM ellenőrzési jogkörének biztosítását és
n) az adatkezelő utasításadási rendjének meghatározását, ideértve az adatfeldolgozó azon kötelezettségét, hogy tájékoztassa az adatkezelőt, ha az adatkezelő által adott utasítás az EU rendeletbe vagy egyéb jogszabályba ütközik, vagy ha megítélése szerint az adatfeldolgozással érintett személyes adatok tekintetében adatvédelmi incidens következett be.
12. Adatközlés, adattovábbítás
29. § (1) Az érintettek személyes adatainak közlésére, továbbítására az EU rendeletben, illetve az Infotv.-ben meghatározottak szerint és a feltételek megvalósulása esetén kerülhet sor.
(2) Az adatvédelmi tisztviselő szakmai véleményét ki kell kérni az adatközlést, adattovábbítást megelőzően, kivéve azokat az adatközléseket, adattovábbításokat, amelyeket jogszabály kötelezően előír.
13. Az elektronikus közzététel szabályai
30. § (1) A HM-nek a közadatkereső rendszerrel kapcsolatos feladatait az Adatvédelmi HM utasítás 29. §-a tartalmazza.
(2) A HM a hivatalos honlapján közzéteszi az Adatvédelmi HM utasítás 9. mellékletében szereplő általános közzétételi listában szereplő adatokat. A közzététel kezdeményezéséért az Adatvédelmi HM utasítás 9. mellékletében erre kijelölt önálló szervezeti egység felel, illetve kijelölés hiányában az, amelynek érdekkörében a közzéteendő adat keletkezett.
(3) Az Adatvédelmi HM utasítás 9. mellékletében szereplő általános közzétételi listában az adott adatkör vonatkozásában az ott meghatározott adatfelelős, ennek hiányában az az önálló szervezeti egység, amelynek az érdekkörében a közétett adat keletkezett, figyelemmel kíséri a feltöltött adatok pontosságát, naprakészségét, és az adatokban történt változások esetén – az általános közzétételi lista szerint, az ott meghatározott gyakorisággal – frissíti az adatokat. Az adatfelelős, illetve az az önálló szervezeti egység, amelynek az érdekkörében a közzétett adat keletkezett, a frissített adatokat a szakmai szerv részére megküldi, és azok információs jogi megfelelősége esetén a szakmai szerv továbbítja a HM adatközlő részére közzététel céljából.
14. A közpénzekből nyújtott támogatások közzétételének különös eljárási szabályai
31. § (1) A közpénzekből nyújtott támogatások átláthatóságáról szóló 2007. évi CLXXXI. törvény (a továbbiakban: Knytv.) 6. és 8. §-a szerinti érintettségről (a továbbiakban: érintettség) a pályázói nyilatkozat mintáját az 1. melléklet, az érintettséget megalapozó körülmények közzétételének kezdeményezésére szolgáló kérelemmintát a 2. melléklet tartalmazza.
(2) A pályázatot vagy az egyedi támogatási kérelmet befogadó önálló szervezeti egység – a Knytv.-ben és a közpénzekből nyújtott támogatások átláthatóságáról szóló 2007. évi CLXXXI. törvény végrehajtásáról szóló 67/2008. (III. 29.) Korm. rendeletben foglaltak figyelembevételével – a közpénzpályázatok közzétételének hivatalos honlapján közzétételi eljárást kezdeményez a pályázat vagy az egyedi támogatási kérelem elbírálása alapján előkészített támogatói okirat vagy támogatási szerződés aláírását követő 30 napon belül.
(3) A pályázatot befogadó önálló szervezeti egység felelős
a) a közzétételi eljárás kezdeményezése esetén a Knytv.-ben meghatározott adatok közzétételéért, törléséért és
b) a pályázatban benyújtott adatok, valamint a közzétételre megküldött adatok tartalmának egyezéséért.
(4) A pályázatot befogadó önálló szervezeti egység által kijelölt személyek jogosultak a Knytv. szerinti adatok közzétételében való közreműködésre. A kijelölt személyek nevéről, hivatali elérhetőségéről, elektronikus levélcíméről a HM adatvédelmi tisztviselőjét kell tájékoztatni.
(5) A pályázatot befogadó önálló szervezeti egység vezetője gondoskodik az állományában lévő kijelölt személyek Knytv.-ben foglalt közzétételi kötelezettséggel összefüggő tárcaszintű feladatainak munkaköri leírásában, beosztási okiratában történő rögzítéséről.
15. A jogszabálytervezetek közzététele
32. § (1) A jogszabályok előkészítésében való társadalmi részvételről szóló 2010. évi CXXXI. törvény és a jogszabálytervezetek és szabályozási koncepciók közzétételéről és véleményezéséről szóló 301/2010. (XII. 23.) Korm. rendelet szerinti tevékenységet a HM JF végzi, a közzétételről a HM adatközlő gondoskodik.
(2) A HM JF a jogszabálytervezet szakmai kidolgozójával együttműködésben a nyilvánosság részéről megfogalmazott észrevételeket mérlegeli, és az észrevételekről, valamint az elutasított észrevételek esetében – a névtelenül beérkezettek kivételével – az elutasítás indokairól összefoglalót készít, amelyet – törvény esetén az Országgyűléshez történő benyújtást, kormányrendelet és miniszteri rendelet esetén a kihirdetést követően – a jogszabályi feltételek fennállása esetén megküld a HM adatközlő részére közzététel céljából.
16. Közérdekű adatok egyedi igénylésének és teljesítésének rendje
33. § A HM-hez érkező közérdekű adatigénylések teljesítése során az Adatvédelmi HM utasítás 41–47. §-ában foglaltakra figyelemmel kell eljárni.
34. § (1) A szakmai szerv feladata a HM-hez érkező közérdekű adatigénylés teljesítése vagy megtagadása. Abban az esetben, ha a közérdekű adatigénylés nem a HM szakmai felelős szervhez érkezik, azt részére haladéktalanul meg kell küldeni. A szakmai szerv az adatigénylés elektronikus úton történő megküldésével tájékoztatja a HM kommunikációjáért felelős szervet a közérdekű adatigénylésről.
(2) A szakmai szerv a közérdekű adatigénylést a választervezet szakmai kidolgozása, annak összeállítása céljából haladéktalanul megküldi a közérdekű adatigénylés tárgya szerint illetékes önálló szervezeti egység (a továbbiakban: választervezetet kidolgozó) részére.
(3) A választervezetet kidolgozó 2 munkanapon belül megküldi az előkészített szakmai bedolgozását a szakmai szervnek.
(4) A szakmai szerv a beérkezést követő 3 munkanapon belül megküldi a HM kommunikációjáért, a parlamenti kapcsolatokért, illetve a jogi képviseletért felelős szerv részére a megkeresésre írt választervezetét. Az érintett szervek a választervezettel kapcsolatos álláspontjukat a szakmai szerv részére, az általa megállapított határidőn belül, megküldik.
(5) A szakmai szerv a szakmai bedolgozások alapján haladéktalanul véglegesíti a válaszlevél-tervezetet, amelyet a közigazgatási államtitkár és a jogi és igazgatási ügyekért felelős helyettes államtitkár általi elfogadást követően az Adatvédelmi HM utasításban szabályozottak szerint jóváhagyásra felterjeszt. A jóváhagyott válaszlevél-tervezetet a szakmai szerv – az Infotv.-ben meghatározott határidőn belül – megküldi a közérdekű adatigénylő részére, ezzel párhuzamosan a közigazgatási államtitkár, a jogi és igazgatási ügyekért felelős helyettes államtitkár, a kabinetfőnök, a parlamenti kapcsolatokért felelős szerv, a HM kommunikációjáért felelős szerv, valamint a gazdálkodási kérdést érintő közérdekű adatigénylés esetén a gazdálkodási ügyekért felelős államtitkári főtanácsos részére is.
17. A közérdekű adatigénylés teljesítéséért megállapítható költségtérítés
35. § (1) A válaszadásra kötelezett az adatigénylés teljesítéséért az Infotv. 29. § (3) és (4) bekezdésében, valamint a közérdekű adat iránti igény teljesítéséért megállapítható költségtérítés mértékéről szóló 301/2016. (IX. 30.) Korm. rendeletben (a továbbiakban: Korm. rendelet) meghatározott feltételek fennállása esetén és mértékig költségtérítést állapíthat meg.
(2) A választervezetet kidolgozó előzetesen megbecsüli a munkára fordítandó munkaidőt és a felmerülő dologi kiadások összegét, ezt követően a 3. mellékletben meghatározott elszámoló ívet haladéktalanul megküldi a válaszadásra kötelezett részére.
36. § (1) Költségtérítés esetén a válaszadásra kötelezett tájékoztatja az adatigénylőt, hogy a költségtérítés összege a Korm. rendeletben meghatározott összeget
a) eléri, és ezzel egyidejűleg kéri, hogy nyilatkozzon adatigénylésének fenntartásáról, vagy
b) nem éri el, valamint – az igény beérkezését követő 15 napon belül – felvilágosítja
ba) arról, hogy az adatigénylés
baa) teljesítése a közfeladatot ellátó szerv alaptevékenységének ellátásához szükséges munkaerőforrás aránytalan mértékű igénybevételével jár-e, illetve
bab) teljesítéséhez szükséges dokumentum vagy dokumentumrész, amelyről az adatigénylő másolatot igényelt, jelentős terjedelmű-e, valamint
bac) személyi és dologi költsége meghaladja-e a Korm. rendeletben megállapított összeghatárt és
bb) az adatigénylés teljesítésének másolatkészítést nem igénylő lehetőségeiről.
(2) Ha az (1) bekezdés a) pontjában meghatározott esetben az adatigénylő a tájékoztatás kézhezvételétől számított 30 napon belül nyilatkozik adatigénylésének fenntartásáról, akkor a válaszadásra kötelezett legalább 15 napos határidőt határoz meg a költségtérítés megfizetésére. A közérdekű adatigénylést a költségtérítés megfizetésétől függetlenül – az Infotv. 29. § (1) és (2) bekezdésében meghatározott határidőn belül – teljesíteni kell.
(3) Az (1) bekezdés b) pontjában meghatározott esetben a válaszadásra kötelezett az adatigénylést a költségtérítésnek az adatigénylő általi megfizetését követő 15 napon belül teljesíti.
37. § (1) A 36. § szerinti tájékoztatáshoz csatolni kell a 4. mellékletben meghatározott formanyomtatványt, és az adatigénylőt fel kell kérni arra, hogy a tájékoztatást követő igénylésének fenntartása esetén azt megfelelően kitöltve küldje vissza.
(2) A felszámítható költségek mértékét a HM hivatalos honlapján közzétett hirdetmény tartalmazza. A költségtérítéssel kapcsolatos számla kibocsátása a HM pénzügyi ellátásért felelős honvédelmi szervezet feladata. A költség adatigénylő általi megfizetésének tényét a HM pénzügyi ellátásért felelős honvédelmi szervezet haladéktalanul jelzi a válaszadásra kötelezettnek.
38. § Az alcímben nem szabályozott esetekben a Korm. rendeletben meghatározottak szerint kell eljárni, figyelembe véve a HM fejezet egységes számviteli politikájáról és számlarendjéről szóló 4/2021. (HK 2.) HM KÁT szakutasítás rendelkezéseit.
18. Záró rendelkezések
39. § Ez az utasítás a közzétételét követő napon lép hatályba.
40. § Az önálló szervezeti egység – a HM adatkezelési tevékenységek, valamint az adatkezelői nyilvántartás megalapozottsága és naprakészsége érdekében – a meglévő adatkezeléseit áttekinti, és amennyiben szükséges, azokat – az utasítás hatálybalépését követő 30 napon belül, az új adatkezeléseit pedig az adatkezelés megkezdését megelőzően – az Adatvédelmi HM utasítás 1. melléklete szerinti adatlapon bejelenti az adatvédelmi tisztviselő részére.
41. §1
1. melléklet a 27/2021. (VII. 8.) HM utasításhoz
a közpénzekből nyújtott támogatások átláthatóságáról szóló 2007. évi CLXXXI. törvény szerinti összeférhetetlenség, illetve érintettség fennállásáról vagy hiányáról
Aláírás/Cégszerű aláírás
2. melléklet a 27/2021. (VII. 8.) HM utasításhoz
a közpénzekből nyújtott támogatások átláthatóságáról szóló 2007. évi CLXXXI. törvény
8. § (1) bekezdése szerinti érintettségéről
Aláírás/Cégszerű aláírás
3. melléklet a 27/2021. (VII. 8.) HM utasításhoz
I. MUNKAERŐ-RÁFORDÍTÁS KÖLTSÉGEI
Ráfordított munkaidő összesen (órában1) |
|
ebből |
|
ügyintéző 1/óra2 |
|
személyügyi törzsszám |
|
ügyintéző 2/óra2 |
|
személyügyi törzsszám |
|
ügyintéző 3/óra2 |
|
személyügyi törzsszám |
|
II. ADATHORDOZÓ KÖLTSÉGEI
db |
|||
Másolat |
színes |
A/4 |
|
A/3 |
|
||
fekete-fehér |
A/4 |
|
|
A/3 |
|
||
optikai hordozó |
|
|
|
egyéb adathordozó |
|
|
|
III. KÉZBESÍTÉSI KÖLTSÉGE3
Adatigénylő részére postai úton, belföldre |
Ft |
Adatigénylő részére postai úton, külföldre |
Ft |
4. melléklet a 27/2021. (VII. 8.) HM utasításhoz
1. A közérdekű adatigénylés tárgya: .................................................................................................................................……
2. Az adatigénylő
neve: .......................................................................................................................................................................................
címe: .......................................................................................................................................................................................
3. Számlázásra vonatkozó adatok
számlázási név: ......................................................................................................................................................................
számlázási cím: ......................................................................................................................................................................
Aláírásommal elismerem, hogy a rendelkezésemre bocsátott adatkezelési tájékoztatóban foglaltakat megismertem.
Kelt: ........................ év ............... hó ......... nap
..........................................................................
aláírás
A 41. § a 2010: CXXX. törvény 12. § (2) bekezdése alapján hatályát vesztette.
- Hatályos
- Már nem hatályos
- Még nem hatályos
- Módosulni fog
- Időállapotok
- Adott napon hatályos
- Közlönyállapot
- Indokolás