20/2024. (VII. 25.) KTM utasítás
20/2024. (VII. 25.) KTM utasítás
a személyes adatok védelméről és a közérdekű adatok megismerésének rendjéről
A jogalkotásról szóló 2010. évi CXXX. törvény 23. § (4) bekezdés c) pontjában meghatározott feladatkörömben eljárva – figyelemmel az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 25/A. § (3) bekezdésében, valamint 30. § (6) bekezdésében foglaltakra, a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet 24. cikk (2) bekezdése alapján – a Közigazgatási és Területfejlesztési Minisztérium által kezelt személyes adatok védelme és a közérdekű és közérdekből nyilvános adatok megismerésére irányuló igények teljesítése érdekében a következő utasítást adom ki:
ÁLTALÁNOS RENDELKEZÉSEK
1. A személyes adatok védelméről, továbbá a Közigazgatási és Területfejlesztési Minisztérium kezelésében lévő közérdekű és közérdekből nyilvános adatok megismerésére irányuló igények teljesítésének rendjéről szóló szabályzat célja és hatálya
1. § (1) A személyes adatok védelméről, továbbá a Közigazgatási és Területfejlesztési Minisztérium kezelésében lévő közérdekű és közérdekből nyilvános adatok megismerésére irányuló igények teljesítésének rendjéről szóló szabályzat (a továbbiakban: szabályzat) célja, hogy a Közigazgatási és Területfejlesztési Minisztérium (a továbbiakban: Minisztérium) tevékenysége során a személyes adatok védelméhez fűződő jog érvényesülésének biztosítása, illetve a Minisztérium által kezelt személyes adatok jogosulatlan felhasználásának megakadályozása érdekében meghatározza a személyes adatok kezelése során irányadó adatvédelmi és adatbiztonsági előírásokat, továbbá hogy az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvényben (a továbbiakban: Infotv.), a közérdekű adat iránti igény teljesítéséért megállapítható költségtérítés mértékéről szóló 301/2016. (IX. 30.) Korm. rendeletben (a továbbiakban: Költségtérítési rendelet), valamint a vonatkozó egyéb jogszabályokban foglalt előírások figyelembevételével elősegítse a közérdekű és a közérdekből nyilvános adatok megismeréséhez való, Alaptörvényben rögzített jog érvényesülését azáltal, hogy meghatározza a közérdekű adatok megismerésére irányuló igények teljesítésének rendjét a Minisztériumban.
(2) A szabályzat hatálya a Minisztérium valamennyi szervezeti egységére, valamint foglalkoztatottjára kiterjed.
(3) A szabályzatban foglaltakat kell alkalmazni a Minisztérium szervezeti egységei által folytatott adatkezelési műveletekre – az adatok megjelenési formájától függetlenül –, az adatkezelés teljes folyamatára kiterjedően – az adatok megszerzésétől vagy a Minisztérium valamely szervezeti egységénél történő keletkezésétől azok törléséig, illetve megsemmisítéséig –, függetlenül attól, hogy az adatok valamely nyilvántartási rendszer vagy valamely ügyben keletkezett irat részét képezik-e.
2. § (1) A szabályzat rendelkezéseit a Minisztérium kezelésében lévő közérdekű és közérdekből nyilvános adatok megismerésére irányuló igények esetében kell alkalmazni, függetlenül attól, hogy az adatigénylő a kérelmét a Minisztériumhoz közvetlenül nyújtotta be, vagy más szerv a hozzá benyújtott igényt a Minisztériumhoz továbbította.
(2) A szabályzat nem vonatkozik a közhitelű nyilvántartásból történő, törvényben szabályozott adatszolgáltatásra.
(3) A minősített adatok kezelésére vonatkozó jogszabály eltérő rendelkezésének hiányában a szabályzatot kell alkalmazni a minősített adathordozóban szerepeltetett személyes adatok kezelése során.
2. Értelmező rendelkezések
3. § A szabályzat alkalmazásában
a) adatkezelő szerv: Minisztérium,
b) adatbirtokos: a Minisztérium azon önálló szervezeti egysége, amelynél a személyes adat keletkezett, az adat fellelhető, vagy amely azt nyilvántartja, kezeli,
c) adatfelelős: a Minisztérium azon önálló szervezeti egysége, amely a közérdekű adatot előállította, illetve amelynek a működése során az adat keletkezett,
d) személyes adat: a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: általános adatvédelmi rendelet) szerinti személyes adat,
e) közérdekű adat: az Infotv. szerinti közérdekű adat,
f) közérdekből nyilvános adat: az Infotv. szerinti közérdekből nyilvános adat,
g) üzleti titok: az üzleti titok védelméről szóló 2018. évi LIV. törvény alapján meghatározott üzleti titok,
h) nyilvánosságra hozatal: az adat bárki számára történő hozzáférhetővé tétele,
i) érintett: az Infotv. szerinti érintett.
A SZEMÉLYES ADATOK VÉDELME
3. A Minisztérium hivatali szervezetének vezetője
4. § (1) A Minisztérium hivatali szervezetének vezetője a közigazgatási államtitkár, aki a parlamenti államtitkár bevonásával a jogi ügyekért felelős helyettes államtitkáron keresztül irányítja az adatvédelmi tisztviselő tevékenységét, és gyakorolja felette a munkáltatói jogokat.
(2) A közigazgatási államtitkár felel
a) a Minisztérium által kezelt személyes adatok védelméhez szükséges személyi, tárgyi és technikai feltételek biztosítását célzó, hatáskörébe tartozó intézkedések megtételéért,
b) a Minisztérium személyi állományának adatvédelmi oktatásáért, az adatvédelmi tisztviselő bevonásával,
c) a Minisztérium irányítása és felügyelete alá tartozó szerv tevékenységének rendszeres adatvédelmi ellenőrzéséért, az ellenőrzés során esetlegesen feltárt hiányosságok vagy jogszabálysértő körülmények megszüntetéséért, a személyi felelősség megállapításához szükséges eljárás kezdeményezéséért, illetve lefolytatásáért,
d) az érintett jogainak gyakorlásához, valamint tájékoztatásához szükséges feltételek biztosításáért,
e) az adatvédelmi hatásvizsgálatok lefolytatásáért és rendszeres felülvizsgálatáért, valamint az ahhoz szükséges feltételek biztosításáért,
f) az adatvédelmi feladatok ellátására alkalmas adatvédelmi tisztviselő kijelöléséért,
g) az adatvédelmi tisztviselő feladatainak végrehajtásához, a személyes adatokhoz és az adatkezelési műveletekhez való hozzáféréshez, valamint az adatvédelmi tisztviselő szakértői szintű ismereteinek fenntartásához szükséges feltételek és források biztosításáért,
h) annak biztosításáért, hogy az adatvédelmi tisztviselő a feladatai ellátásával kapcsolatban utasításokat senkitől ne fogadjon el,
i) az adatvédelmi tisztviselő tevékenységének irányításáért, a tevékenysége feletti ellenőrzési jogok, valamint a munkáltatói jogok gyakorlásáért.
4. Az adatvédelmi tisztviselő
5. § (1) Az adatvédelmi tisztviselőt a közigazgatási államtitkár írásban jelöli ki. Adatvédelmi tisztviselőnek csak olyan személy jelölhető ki, aki az általános adatvédelmi rendeletben és az Infotv.-ben foglalt feltételeknek megfelel.
(2) Nem lehet olyan személyt kijelölni adatvédelmi tisztviselőnek, aki az adatkezelő szervnél adatkezeléssel kapcsolatos döntések meghozatalára jogosult személynek a Polgári Törvénykönyvről szóló 2013. évi V. törvény 8:1. § (1) bekezdés 2. pontja szerinti hozzátartozója.
(3) Az adatvédelmi tisztviselő nevéről és elérhetőségéről a minisztériumi foglalkoztatottakat tájékoztatni kell, valamint a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) nyilvántartásába be kell jelenteni.
(4) Az adatvédelmi tisztviselő feladatainak ellátása céljából, az ahhoz szükséges mértékben a minősítéssel védett iratokba betekinthet.
6. § (1) A Minisztériummal bármely jogszabály alapján foglalkoztatási jogviszonyban álló személy a személyes adatai kezeléséhez és jogai gyakorlásához kapcsolódó valamennyi kérdésben a hivatali út betartása nélkül, közvetlenül fordulhat az adatvédelmi tisztviselőhöz.
(2) Az adatvédelmi tisztviselő az általános adatvédelmi rendeletben és az Infotv.-ben rögzítetteken túl kizárólag a következő feladatokat látja el:
a) ellenőrzi az adatkezelő szervnél az adatvédelmi és adatbiztonsági követelmények megtartását, az adatkezeléssel kapcsolatban általános javaslatot fogalmaz meg,
b) az adatkezeléssel kapcsolatos előírások megszegésének észlelése esetén felhív a jogszerű állapot haladéktalan helyreállítására, és a hiányosságokat – amennyiben emiatt adatvédelmi érdek sérelmet szenvedne, úgy közvetlenül – jelzi a közigazgatási államtitkárnak, a további adatkezelésre vonatkozóan javaslatot fogalmaz meg,
c) közreműködik az adatvédelmi incidensek kivizsgálásában, vezeti a Minisztérium adatvédelmi incidens nyilvántartását, és a vizsgálat eredménye alapján a jogszabályi feltételek fennállása esetén bejelenti azt a Hatóság részére,
d) nyilvántartást vezet az érintettnek a személyes adatai kezelésével kapcsolatos hozzáférésre, helyesbítésre, törlésre, tiltakozásra, valamint korlátozásra vonatkozóan benyújtott és elutasított kérelméről, az elutasítás indokairól,
e) a d) pont szerinti nyilvántartás alapján személyes adatot nem tartalmazó kimutatást vezet, amelyről minden év január 31-ig megküldött éves jelentésben tájékoztatja a Hatóságot,
f) vezeti a személyes adat kezelésével összefüggő egyéb nyilvántartásokat,
g) részt vesz a Hatóság által szervezett képzéseken.
5. A személyes adatok kezelésére vonatkozó elvek
7. § A Minisztérium a személyes adatok kezelése során az alábbi elveket alkalmazza:
a) Jogszerűség, tisztességes eljárás és átláthatóság elve: a személyes adatok kezelésére csak és kizárólag a megfelelő jogalap megléte esetén kerülhet sor. Az adatkezelésre vonatkozó jogszabályok betartásán túl a Minisztérium tiszteletben tartja az érintettek személyes adataikhoz fűződő jogát és emberi méltóságát az adatkezelés során. A Minisztérium az adatkezelést átláthatóan végzi, az adatkezelésről teljes körű tájékoztatást nyújt az érintettek részére.
b) Célhoz kötöttség elve: a Minisztérium kizárólag előre meghatározott, jogszerű célból kezel adatokat, a céllal, célokkal összeegyeztethető módon.
c) Adattakarékosság elve: a Minisztérium kizárólag annyi és olyan személyes adatot kezel, mely a meghatározott cél teljesüléséhez szükséges. A Minisztérium az adatkezeléskor meghatározott cél megvalósulását követően – kivéve, ha jogszabály ezzel ellentétesen rendelkezik, vagy az adattárolás olyan adatkezelési cél elérése érdekében lehetséges, mely összeegyeztethető az eredeti adatkezelési céllal – a személyes adatokat törli.
d) Pontosság elve: a Minisztérium az általa kezelt személyes adatok pontosságát az adatbirtokos folyamatos felülvizsgálata és az érintett helyesbítéséhez való jogának gyakorlásának biztosításával garantálja.
e) Korlátozott tárolhatóság elve: a Minisztérium a személyes adatot tartalmazó dokumentumot az adatkezelési cél elérését vagy az adatkezelési idő leteltét követően – kivéve, ha jogszabály ezzel ellentétesen rendelkezik, vagy az adattárolás olyan adatkezelési cél elérése érdekében lehetséges, mely összeegyeztethető az eredeti adatkezelési céllal – törli vagy anonimizálja, amely révén az érintett a továbbiakban nem azonosítható.
f) Integritás és bizalmas jelleg elve: a Minisztérium biztosítja a jogosultak számára, hogy az adatokhoz hozzáférjenek, továbbá az adatbiztonságért felelős szervezeti egység felügyeletével gondoskodik a személyes adatok védelméről.
g) Elszámoltathatóság elve: a Minisztérium valamennyi személyes adat kezelésével összefüggő tevékenységét visszakövethető módon dokumentálja, és ezáltal biztosítja az adatkezeléssel kapcsolatosan megtett intézkedések átláthatóságát.
6. Az érintett jogai és az érintett jogainak érvényesítésével összefüggő feladatok
8. § Az érintettnek joga van írásban tájékoztatást kérni a Minisztérium által kezelt személyes adatai vonatkozásában
a) a személyes adatok köréről,
b) az adatkezelés jogalapjáról,
c) az adatkezelés céljáról,
d) a címzettekről vagy címzettek kategóriáiról, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják,
e) az adattárolás időtartamáról,
f) az adatok forrására vonatkozó minden elérhető információról, ha az adat nem az érintettől származik.
9. § Az érintett írásban kérheti, hogy a Minisztérium
a) módosítsa valamely kezelt személyes adatát,
b) törölje személyes adatait,
c) a rá vonatkozó, általa az adatkezelő szerv rendelkezésére bocsátott, bármilyen formában rögzített személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja.
10. § (1) A Minisztérium – az adatvédelmi tisztviselő útján – a 8–9. §-ban foglalt kérelemnek, ha jogszabály ellentétesen nem rendelkezik, legfeljebb egy hónapon belül eleget tesz. A kérelem teljesítéséről vagy annak elutasításáról egy hónapon belül köteles tájékoztatni az érintettet.
(2) Az (1) bekezdésben meghatározott, rendelkezésre álló határidő indokolt esetben – figyelembe véve a kérelem összetettségét és a kérelmek számát – egy alkalommal, két hónappal meghosszabbítható, melyről a Minisztérium az adatvédelmi tisztviselő útján az érintettet tájékoztatja.
11. § Az érintettet megillető jogok gyakorlására – az érintettek adatainak védelmét szolgáló adatbiztonsági követelményeket szem előtt tartva – csak a kérelmező megfelelő azonosítása, illetve kérelme tartalmának hitelesítése esetén van lehetőség. Nem biztosítható ezen jogok gyakorlása, különösen a kérelmező személyének azonosítását nem biztosító elektronikus levél útján érkezett kérelmek esetén.
12. § A Minisztérium az érintett részére nyújtandó bármely értesítést és tájékoztatást könnyen hozzáférhető és olvasható formában, lényegre törő, világos és közérthetően megfogalmazott tartalommal teljesíti. A Minisztérium az információt írásban, elektronikus úton, illetve az érintett kérelmére szóban is megadhatja, amennyiben az érintett személyazonossága igazolt.
13. § Az érintett hozzáférési jogának gyakorlása során a tájékoztatást és az adatról kért első másolatot díjmenetesen kell biztosítani, kivéve ha az érintett kérelme – annak ismétlődő jellege vagy jogszabályban, illetve a Hatóság joggyakorlata értelmében – túlzó. Ez esetben – eltérő jogszabályi rendelkezés hiányában – a Minisztérium jogosult a Költségtérítési rendelet előírásai alapján költségtérítést megállapítani.
7. Az adatkezelési tevékenységek nyilvántartása
14. § (1) Az adatvédelmi tisztviselő koordinálja az általános adatvédelmi rendelet 30. cikke szerinti, az adatbirtokosok adatkezelési tevékenységét tartalmazó információk összesítését.
(2) Az (1) bekezdés szerint létrejövő adattartalommal vezeti az adatkezelési tevékenységek nyilvántartását, melyen keresztül az adatbirtokos az adatvédelmi tisztviselő által meghatározott módon és formában rendszeresen adatokat szolgáltat.
8. Adattovábbítás
15. § (1) Az adatbirtokos az adattovábbítás feltételeinek meglétét minden egyes személyes adattal összefüggésben köteles ellenőrizni, így különösen azt, hogy az igényelt adatokra vonatkozóan az adatok kezelőjének minősül-e.
(2) Adatvédelmi szempontból akkor tekinthető az adattovábbítás jogszerűnek, ha a személyes adatot kezelő szerv vagy személy jogosult annak továbbítására, az adattovábbítás címzettje (adatkérő) pedig rendelkezik az adat kezeléséhez szükséges jogalappal vagy az érintett írásos – a vonatkozó jogszabályi elvárásoknak megfelelő tartalmú – hozzájárulásával, és az adatkérés célja mindezzel összhangban van. Az adattovábbítás feltételeinek megléte és a célhozkötöttség a jogszerűség együttes követelménye.
(3) Harmadik személy vagy szerv által benyújtott adattovábbítási kérelem elbírálása – törvényben kötelezően előírt adattovábbítás esetét kivéve – a Minisztérium hivatali szervezete vezetőjének vagy az általa kijelölt vezetőnek a hatáskörébe tartozik, amellyel kapcsolatban kikérheti az adatvédelmi tisztviselő véleményét. Az adatigénylés abban az esetben teljesíthető, ha az tartalmazza
a) az adatigénylés célját, jogalapját,
b) a kért adatok körének pontos meghatározását,
c) az érintett személy azonosításához szükséges adatokat, több személyre vonatkozó adatigénylés esetén az érintettek azonosításához szükséges csoportképző ismérveket.
(4) Az adattovábbítás történhet kérelem alapján egyedi adatszolgáltatással, továbbá – törvény ilyen tartalmú rendelkezése vagy erre vonatkozó megállapodás alapján – közvetlen hozzáférés biztosításával.
9. Adattovábbítási nyilvántartás
16. § (1) Az adatvédelmi tisztviselő az adatbirtokosok tájékoztatása alapján adattovábbítási nyilvántartást vezet.
(2) Ha olyan adat továbbítására kerül sor, amellyel kapcsolatban az adattovábbítást végző adatbirtokos – az általános adatvédelmi rendelet vagy az Infotv. által biztosított jogait érintő – adatkezelési korlátozást jelzett, az adatkezelési korlátozást is szerepeltetni kell az adattovábbítási nyilvántartásban.
10. Az adatvédelmi hatásvizsgálat lefolytatása és az előzetes konzultáció kezdeményezése
17. § (1) Az adatbirtokos abban az esetben végez előzetes hatásvizsgálatot tervezett vagy folyamatban lévő adatkezelésnél, ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira nézve, valamint akkor, ha az adatkezelés típusa az adatkezelés kockázatának és lényeges körülményének – különösen az adatkezelés technológiájának – megváltoztatásával járna.
(2) Az adatbirtokos a kockázatelemzési feladata kapcsán kikérheti a tervezett, illetve megváltozott adatkezelés által érintett személyek véleményét.
(3) Az adatbirtokos a kockázatelemzési feladata kapcsán kikéri a döntés végrehajtásáért felelős szakterület, az elektronikus információs rendszer biztonságáért felelős szervezet vezetőjének vagy az elektronikus biztonságért felelős személynek és a rendszerek üzemeltetésében részt vevő szervezeteknek, valamint az adatvédelmi tisztviselőnek a véleményét.
18. § (1) Ha a tervezett adatkezelés annak körülményeire, így különösen céljára, az érintettek körére, az adatkezelési műveletek során alkalmazott technológiára tekintettel – az adatkezeléssel várhatóan érintett személyek jogaira nézve – valószínűsíthetően magas kockázatot nem azonosít, vagy megállapítást nyer, hogy az adatkezelés az adatvédelmi hatásvizsgálat lefolytatása alóli mentesítést tartalmazó valamely jogszabályban meghatározott kivételi körbe tartozik, úgy ennek tényét az adatbirtokos írásban rögzíti.
(2) Az adatbirtokos köteles az előkészített adatkezelés esetén az adatkezelési tevékenységek nyilvántartásáról szóló dokumentumot kitölteni, és azt az adatvédelmi tisztviselőnek megküldeni. Az adatvédelmi tisztviselő a megküldött dokumentumot az adatkezelési tevékenységek nyilvántartásába bejegyzi.
(3) Amennyiben az adatbirtokos az adatkezeléssel várhatóan érintett személyek jogaira nézve magas kockázatot azonosít, vagy jogszabályi rendelkezés alapján adatvédelmi hatásvizsgálattal kötelezően vizsgálandó adatkezelési tevékenységek esete áll fenn, – a döntése alapjául szolgáló legfontosabb szempontokat írásban megjelölve – adatvédelmi hatásvizsgálat lefolytatását kezdeményezi a Minisztérium hivatali szervezetének vezetőjénél.
(4) A Minisztérium hivatali szervezetének vezetője az adatbirtokos javaslatára elrendeli az adatvédelmi hatásvizsgálat lefolytatását, vagy írásban rögzíti mellőzésének okait, és az adatvédelmi tisztviselő kapcsolódó álláspontját. Az adatvédelmi hatásvizsgálat lefolytatásáig vagy az annak elmaradásával kapcsolatos okok írásban történő rögzítéséig az adatkezelésről szóló döntés nem hozható meg.
19. § (1) Az adatvédelmi hatásvizsgálat lefolytatásában az adatkezelés által érintett személyek vesznek részt. Az adatvédelmi hatásvizsgálat lefolytatását az adatvédelmi tisztviselő támogatja. Az adatvédelmi hatásvizsgálat során keletkezett iratok az adatkezelő szerv döntését előkészítő adatokat tartalmazzák, ezért azokon „Nem nyilvános!” jelzést kell elhelyezni. Ha a hatásvizsgálat során kezelt adatok egy részének esetében azok minősítésére vonatkozó jogszabályi feltételek fennállnak, akkor az adatkezelő hivatali szervezet vezetője dönt a szükséges iratok minősítéssel történő védelméről és annak szintjéről.
(2) Az adatbirtokos és az adatkezelés által érintett személyek az adatvédelmi hatásvizsgálat eredményeiről minősített adatot nem tartalmazó, „Nem nyilvános!” jelzéssel ellátott összefoglaló jelentést készítenek.
(3) Az adatvédelmi hatásvizsgálatról szóló összefoglaló jelentést a Minisztérium hivatali szervezetének vezetője hagyja jóvá.
(4) Az adatvédelmi tisztviselő a jelentés alapján az adatkezelést bevezeti az adatkezelési tevékenységek nyilvántartásába.
(5) Ha az adatvédelmi hatásvizsgálat arra az eredményre jut, hogy a tervezett adatkezelés jelentette kockázat nem mérsékelhető a rendelkezésre álló technológiák és a végrehajtási költségek szempontjából észszerű módon – vagy azt jogszabály kötelezően előírja –, akkor az adatkezelő szerv előzetes konzultációt kezdeményez a Hatóságnál.
11. Az adatvédelmi incidens észlelése és az adatvédelmi incidens kezelése
20. § (1) A Minisztérium adatkezelésében és az adatfeldolgozónál bekövetkezett adatvédelmi incidens gyanúját észlelő személynek a tájékoztatást haladéktalanul az adatvédelmi tisztviselőhöz és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetőjéhez kell megtenni.
(2) A Minisztériumhoz külső észlelő személytől származó, a Minisztérium adatkezelésére vagy az adatfeldolgozóra vonatkozó adatvédelmi incidens gyanújának tárgyában érkezett tájékoztatást haladéktalanul továbbítani kell az adatvédelmi tisztviselőnek és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetőjének.
(3) Ha a Minisztérium szervezeti egysége a feladata ellátása során adatvédelmi incidens gyanúját észleli, haladéktalanul értesíti az adatvédelmi tisztviselőt és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetőjét.
21. § (1) Az adatvédelmi tisztviselő és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetője megvizsgálja, hogy
a) a tájékoztatás alapján fennáll-e a gyanúja az adatvédelmi incidens bekövetkezésének,
b) az adatvédelmi incidens az informatikai rendszert érintően következett-e be,
c) mely szervezeti egységeket kell bevonni az intézkedések megtételébe.
(2) Az adatvédelmi tisztviselő és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetője – amennyiben az incidens gyanúja felmerül – haladéktalanul egyeztet az adatbirtokossal. Ha az adatbirtokos nem állapítható meg, akkor az üzemeltetést végző szervezet az incidenskezelési eljárásnak megfelelően jár el.
(3) Ha nem állapítható meg adatvédelmi incidens, de egyéb incidens bekövetkezése igen, akkor a feladat- és hatáskört figyelembe véve kerül sor a további eljárás folytatására.
(4) Az adatbirtokos vizsgálja a feladat- és hatáskörébe tartozó, nem informatikai rendszert érintő adatvédelmi incidens gyanújával érintett tájékoztatásokat.
22. § (1) Ha az adatvédelmi incidens a rendelkezésre álló adatok alapján egyértelműen megállapítható, az adatbirtokos a Hatóság honlapján elérhető adatvédelmi incidens bejelentő adatlap kitöltésével megküldi az adatvédelmi tisztviselőnek, aki 72 órán belül intézkedik a hatósági nyilvántartásba való bejelentésről.
(2) Ha a rendelkezésre álló adatok alapján az adatbirtokos egyértelműen nem tudja megállapítani az adatvédelmi incidens bekövetkezését, de feltételezhető, hogy az esemény magas kockázattal járt, haladéktalanul tájékoztatja erről az adatvédelmi tisztviselőt, valamint az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetőjét.
(3) Az adatvédelmi tisztviselő és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetője a tájékoztatást megvizsgálja, a tájékoztatást nyújtó személytől vagy szervezeti egységtől, valamint az adatfeldolgozótól szükség esetén további adatszolgáltatást kér, amelyet az érintettek kötelesek haladéktalanul teljesíteni.
23. § (1) Az adatvédelmi tisztviselő és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetője gondoskodik az elsődleges intézkedések megtételéről. Ha a vizsgálat megállapítja az érintettek jogaival kapcsolatban a magas kockázat fennállását, akkor az adatvédelmi tisztviselő az erre rendszeresített elektronikus felület igénybevételével a Hatóság részére 72 órán belül megküldi az erről szóló tájékoztatást.
(2) Az adatvédelmi incidens bekövetkezése esetén az adatvédelmi tisztviselő és az informatikai rendszerek informatikai biztonságáért felelős szervezeti egység vezetője döntése alapján a Minisztérium tájékoztatja az incidenssel kapcsolatban az érintetteket.
(3) Az adatvédelmi tisztviselő az adatvédelmi incidenst bevezeti a Minisztérium adatvédelmi incidens nyilvántartásba.
12. Az adatfeldolgozás
24. § (1) A Minisztérium adatfeldolgozót vehet igénybe. Az adatfeldolgozó az adatkezelési műveletekhez kapcsolódó technikai feladatokat végzi, és e minőségében gyakorolja az adatkezelő Minisztérium által átruházott jogosultságokat, teljesíti kötelezettségeit.
(2) Az adatfeldolgozásra vonatkozó megállapodást írásba kell foglalni. Amennyiben az adatfeldolgozóként igénybe venni kívánt szervre vagy személyre az utasítás hatálya nem terjed ki, akkor a megállapodásban kell érvényesíteni az adatfeldolgozóval szemben a jelen szabályzatban foglalt előírásokat.
(3) Adatfeldolgozó igénybevétele esetén az adatkezelés céljának meghatározására és az adatkezelésre vonatkozó érdemi döntések meghozatalára az adatkezelő jogosult.
(4) Az adatfeldolgozó a tevékenységi körén belül, illetve az adatkezelő által meghatározott keretek között felelős a személyes adatok feldolgozásáért, megváltoztatásáért, törléséért, továbbításáért és nyilvánosságra hozataláért, továbbá minden olyan jogsértésért, amit az adatkezelő utasításának vagy az adatfeldolgozással összefüggésben kötött megbízási szerződés rendelkezéseinek megszegésével okozott.
13. Adatbiztonsági előírások
25. § (1) Az adatkezelő szerv, illetve tevékenységi körében az adatfeldolgozó köteles gondoskodni az adatok biztonságáról.
(2) Az elektronikusan kezelt adatállományok tekintetében biztosítani kell, hogy a különböző nyilvántartásokban tárolt adatok – törvény eltérő rendelkezése hiányában – közvetlenül ne legyenek összekapcsolhatóak.
26. § Az informatikai adatbiztonsági előírások részletes meghatározását külön szabályzat tartalmazza.
A KÖZÉRDEKŰ ADATOK MEGISMERÉSÉNEK RENDJÉRŐL
14. A parlamenti államtitkár
27. § A parlamenti államtitkár adatvédelmi feladataival összefüggésben
a) ellátja a miniszter feladat- és hatáskörét érintő közérdekű adatigénylésekkel kapcsolatos feladatokat,
b) közreműködik a miniszter feladatkörével összefüggésben, a Minisztérium által kezelt közérdekű adatok közzétételével kapcsolatos műveletekben,
c) gondoskodik a Minisztériumhoz előterjesztett közérdekű adatigénylésekkel kapcsolatos, a Hatóság felé teljesítendő statisztikai adatszolgáltatás előkészítéséről.
15. A közérdekű adat megismerése iránti igény benyújtása
28. § (1) A Minisztérium a postai vagy elektronikus úton történő közérdekű adat megismerése iránti igényeket a honlapon megjelölt postacímen, illetve e-mail-címen fogadja.
(2) Az (1) bekezdésen kívüli, a Minisztérium egyéb elérhetőségeire – bármilyen módon – benyújtott közérdekű adat megismerése iránti igényeket a címzett szervezeti egység haladéktalanul továbbítja az erre kijelölt e-mail-címre.
(3) A Minisztériumhoz a (2) bekezdés szerint érkezett megkereséseket nem lehet elutasítani arra való hivatkozással, hogy azok nem a honlapon meghatározott elérhetőségekre érkeztek.
16. A közérdekű adat megismerése iránti igény vizsgálata
29. § (1) A beérkezett adatigénylést a Parlamenti Kapcsolatok Főosztálya Ágazati Kapcsolatok Osztályának (a továbbiakban: Ágazati Kapcsolatok Osztálya) vezetője vagy az általa az ügy intézésére kijelölt munkatárs (a továbbiakban együtt: ügyintéző) megvizsgálja, és ellenőrzi, hogy a beérkezett adatigénylés az Infotv. 3. § 5. pontja szerint közérdekű adatigénylésnek minősül-e.
(2) Amennyiben az igény nem tartalmazza az igény teljesítéséhez, illetve az elbíráláshoz szükséges információkat – szükség esetén az adatkör szerint érintett szervezeti egység (e fejezetben a továbbiakban: adatfelelős) bevonásával – fel kell hívni az igénylőt az adatigénylés pontosítására. Amennyiben az adatigénylő a kérelem pontosítására irányuló felhívásra nem válaszol, a kérelmét visszavontnak kell tekinteni. Erről az adatigénylőt a felhívásban tájékoztatni kell.
(3) Az Infotv. 33. §-a szerinti, elektronikusan kötelezően közzéteendő adatokra irányuló igény esetében az ügyintéző az igénylőt tájékoztatja a közzétett adat pontos fellelhetőségéről és arról, hogy az igényt ezáltal teljesítettnek kell tekinteni.
(4) Az adatigénylés elutasításának kért adattartalom vizsgálata nélküli egyéb eseteire az Infotv. 29. § (1a) és (1b) bekezdése az irányadó.
17. Az igényelt adatok összeállítása, minősítése
30. § (1) A közérdekű adatigénylés benyújtása után az ügyintéző haladéktalanul megállapítja, hogy az igényben foglalt adatok a Minisztérium mely szervezeti egységénél találhatóak, ezt követően az igényt az adatfelelőshöz továbbítja.
(2) Az adatfelelős az igényelt adatokat összegyűjti, és az igénylést, valamint az igényelt adatokat tartalmazó dokumentumokat – az igénylés továbbításával egyidejűleg meghatározott határidőn belül – megküldi az ügyintézőnek.
(3) Amennyiben még az adatok összegyűjtését, összeállítását megelőzően alappal feltételezhető, hogy az igényelt adatok teljes köre az Infotv. 27. §-a szerinti, illetve a (4) bekezdésben foglalt valamely ok miatt nem ismerhető meg, a szervezeti egység erről – az elutasítás indokát megjelölve – tájékoztatja az Ágazati Kapcsolatok Osztályának vezetőjét, aki lefolytatja az (5) bekezdés szerinti eljárást.
(4) Az igényben foglalt adatokat tartalmazó dokumentumok teljes körű, hiánytalan összeállítása a szervezeti egység felelőssége. Az adatfelelős az adatok összegyűjtése során jelzi az ügyintézőnek, amennyiben megítélése szerint az igényelt adatok vagy azok egy része az (5) bekezdés a)–b) pontja szerinti valamely szempontnak nem felelnek meg, illetve az (5) bekezdés c) pontja szerinti minősítésük áll fenn.
(5) Az Ágazati Kapcsolatok Osztályának vezetője az adatfelelős jelzése alapján a (2) bekezdés szerinti adatok tekintetében állást foglal
a) a Minisztérium adatkezelői minőségéről,
b) az adatok Infotv. szerinti közérdekű, közérdekből nyilvános jellegéről, valamint
c) arról, hogy az adatok az igénylő által meg nem ismerhető adatot – személyes adatot, üzleti titkot, a 31. § szerinti döntés megalapozását szolgáló döntés előkészítő jellegű adatot – tartalmaznak-e.
(6) Az Ágazati Kapcsolatok Osztályának vezetője állást foglal arról, hogy a (2) bekezdés szerinti adatok – a (3)–(5) bekezdésben foglalt szempontok alapján – az igénylő által megismerhetőek-e, ezen álláspontját megküldi a jogi ügyekért felelős helyettes államtitkár részére. A (2) bekezdés szerinti adatok megismerését a jogi ügyekért felelős helyettes államtitkár egyetértése esetén a parlamenti államtitkár
a) az igénylő számára a 19. alcímben foglaltak szerint lehetővé teszi, vagy
b) az adatigénylést elutasítja, és a 20. alcímben foglaltak szerint erről az igénylőt tájékoztatja.
18. A döntés megalapozását szolgáló adatok megismerésére irányuló igényekkel kapcsolatos különös szabályok
31. § (1) A döntés megalapozását szolgáló adatok megismerésére irányuló igény esetén a (2)–(6) bekezdésben foglaltak szerint kell eljárni.
(2) A döntés megalapozását szolgáló adatok – ha egyes ilyen adatok tekintetében jogszabály rövidebb időtartamot nem állapít meg – a keletkezésétől számított tíz évig nem nyilvánosak.
(3) Az adatfelelős a 30. § (6) bekezdése szerinti eljárás során – amennyiben megítélése szerint az igényelt adatok ilyennek minősülnek – nyilatkozik arról, hogy
a) az igényben szereplő adat döntés megalapozását szolgáló adat,
b) megítélése szerint a döntés megalapozását szolgáló adat megismerése – a (4)–(5) bekezdés szerinti eljárás keretében – engedélyezhető-e.
(4) A döntés megalapozását szolgáló adat megismerését – az adat megismeréséhez és a megismerhetőség kizárásához fűződő közérdek súlyának mérlegelésével, valamint a jogi ügyekért felelős helyettes államtitkár álláspontja ismeretében – a parlamenti államtitkár engedélyezheti.
(5) A döntés megalapozását szolgáló adat megismerésére irányuló igény – a (2) bekezdésben meghatározott időtartamon belül – a döntés meghozatalát követően akkor utasítható el, ha az adat további jövőbeli döntés megalapozását is szolgálja vagy az adat megismerése a Minisztérium törvényes működési rendjét vagy feladat- és hatáskörének illetéktelen külső befolyástól mentes ellátását, így különösen az adatot keletkeztető álláspontjának a döntések előkészítése során történő szabad kifejtését veszélyeztetné.
(6) A (4)–(5) bekezdés szerinti eljárást a 32. § (1) bekezdésében foglalt határidőn belül kell lefolytatni.
19. Az igény teljesítésére vonatkozó határidők, az adatok átadása és a költségtérítés megállapítása
32. § (1) A közérdekű adatok megismerésére irányuló igénynek a Minisztérium az igény beérkezését követő legrövidebb idő alatt, legfeljebb tizenöt napon belül tesz eleget.
(2) Ha az igény jelentős terjedelmű, illetve nagyszámú adatra vonatkozik, az (1) bekezdésben meghatározott határidő egy alkalommal, tizenöt nappal meghosszabbítható. A teljesítési határidő Infotv. 29. § (2) bekezdése szerinti meghosszabbításáról az Ágazati Kapcsolatok Osztálya vezetőjének kezdeményezésére – a jogi ügyekért felelős helyettes államtitkár álláspontja ismeretében – a parlamenti államtitkár dönt. A határidő meghosszabbításáról az igénylőt az igény beérkezését követő tizenöt napon belül kell tájékoztatni.
33. § (1) Az igénynek közérthetően és – amennyiben ez aránytalan nehézség nélkül megoldható – az igénylő által kívánt formában, illetve módon kell eleget tenni.
(2) Ha az igénylő az adatokat betekintés útján kívánja megismerni, vagy a másolatokat személyesen kívánja átvenni, az ügyintéző – a jogi ügyekért felelős helyettes államtitkár jóváhagyását követően – felveszi a kapcsolatot az igénylővel időpont egyeztetése céljából. Az igénylő – az ügyirat részét képező – nyilatkozat aláírásával elismeri, hogy az iratokba a helyszínen betekintett, illetve hogy az igényelt másolatot megkapta. A nyilatkozat elmaradása esetén a dokumentumok tanulmányozását az igénylő nem kezdheti meg.
(3) Az adatok tanulmányozására – az erre a célra kijelölt helyiségben – megfelelő időt kell biztosítani. A bemutatott dokumentum tanulmányozása során az igénylő kérdéseire válaszolni, és az adatok biztonságára, illetve változatlanságára ügyelni kell.
(4) Az igénylő jogosult a bemutatásra került dokumentumokról jegyzeteket készíteni.
(5) Az igényelt adatokat tartalmazó dokumentumról vagy dokumentumrészről – annak tárolási módjától függetlenül – az igénylő másolatot kaphat.
34. § Ha a közérdekű adatot tartalmazó dokumentum az igénylő által meg nem ismerhető adatot is tartalmaz, az igénylő által megtekintett dokumentumon, illetve a dokumentum másolatán a meg nem ismerhető adatot felismerhetetlenné kell tenni.
35. § (1) A Minisztérium az adatigénylés másolat készítésével történő teljesítéséért – az azzal kapcsolatban felmerült költség mértékéig terjedően – költségtérítést állapíthat meg akkor, ha a felmerült költség mértéke meghaladja a kormányrendeletben meghatározott, költségtérítésként megállapítható legalacsonyabb összeget, azzal, hogy az így meghatározott költségtérítés összege ekkor sem haladhatja meg a kormányrendeletben meghatározott legmagasabb összeget. A költségtérítés összegéről, valamint az adatigénylés teljesítésének a másolatkészítést nem igénylő lehetőségeiről az igénylőt az igény beérkezését követő tizenöt napon belül tájékoztatni kell.
(2) Az (1) bekezdésben foglalt költségtérítés mértékéről, valamint az adatigénylés teljesítésének a másolatkészítést nem igénylő lehetőségeiről az igénylőt az igény beérkezését követő tizenöt napon belül kell tájékoztatni.
(3) Az adatigénylést a költségtérítésnek az igénylő általi megfizetését követő tizenöt napon belül kell teljesíteni, valamint intézkedni kell az előzetesen megállapított és befizetett összeg, valamint a ténylegesen jelentkező összeg közti esetleges különbözet visszatérítéséről.
(4) Az igénylő a (2) bekezdés alapján kapott tájékoztatás kézhezvételét követő harminc napon belül nyilatkozik arról, hogy az igénylését fenntartja-e. A tájékoztatás megtételétől az igénylő nyilatkozatának a beérkezéséig terjedő időtartam az adatigénylés teljesítésére rendelkezésre álló határidőbe nem számít bele.
(5) Amennyiben az adatigénylő határidőben nem nyilatkozik, vagy a költségtérítést nem vállalja, az adatigénylést visszavontnak kell tekinteni. Erről a felhívásban az adatigénylőt tájékoztatni kell.
(6) Amennyiben az adatigénylő fenntartja az adatigénylését, és vállalja a költségtérítés megfizetését, az ügyintéző – a jogi ügyekért felelős helyettes államtitkár jóváhagyását követően – tájékoztatja a költségtérítés megfizetésének határidejéről, ami tizenöt napnál rövidebb határidő nem lehet.
20. Az igény teljesítésének megtagadása
36. § (1) A Minisztérium az igény teljesítésének megtagadásáról annak indokaival, valamint az Infotv. 31. §-a alapján az igénylőt megillető jogorvoslati lehetőségekről való tájékoztatással együtt, az igény beérkezését követő tizenöt napon belül értesíti az igénylőt.
(2) A jogorvoslati lehetőségekről szóló tájékoztatásnak az alábbiakat kell tartalmaznia:
a) a Hatóságnál az igénylő bejelentéssel vizsgálatot kezdeményezhet arra hivatkozással, hogy a közérdekű adatok megismeréséhez fűződő jogok gyakorlásával kapcsolatban jogsérelem érte, vagy ennek közvetlen veszélye fennáll,
b) az igénylő a közérdekű adat megismerésére vonatkozó igény elutasítása esetén bírósághoz fordulhat, a pert az igény elutasításának közlésétől számított harminc napon belül kell megindítani az igényt elutasító Minisztérium ellen,
c) ha az igény elutasítása miatt az igénylő a Hatóság vizsgálatának kezdeményezése érdekében bejelentést tesz, a pert a bejelentés érdemi vizsgálatának elutasításáról, a vizsgálat megszüntetéséről, az Infotv. 55. § (1) bekezdés b) pontja szerinti lezárásáról szóló vagy az Infotv. 58. § (3) bekezdése szerinti értesítés kézhezvételét követő harminc napon belül lehet megindítani,
d) a perindításra rendelkezésre álló határidő elmulasztása esetén igazolásnak van helye.
(3) Az igény teljesítése nem tagadható meg azért, mert a nem magyar anyanyelvű igénylő az igényét anyanyelvén vagy az általa értett más nyelven fogalmazza meg.
21. Az igény teljesítésével vagy arra adott tájékoztatással összefüggő engedélyezési és kiadmányozási szabályok
37. § (1) Az igény teljesítését vagy a megtagadásról, a pontosításra felhívásról és a betekintés útján történő megismeréséről, továbbá a teljesítési határidő meghosszabbításáról, valamint a költségtérítés megállapításáról szóló tájékoztatást (a továbbiakban: adatigénylésre adott válasz) a jogi ügyekért felelős helyettes államtitkár egyetértését követően a parlamenti államtitkár kiadmányozza.
(2) Az igénylő jelen szabályzatban meghatározottak szerinti értesítése kizárólag írásban történhet, kivéve ha az igénylő megfelelő elérhetőséget erre nem biztosított. Az írásbeli értesítés elektronikus levélben is történhet, amennyiben az igénylő ilyen elérhetőséget megadott.
(3) Amennyiben az adatigénylő az adatigénylésre adott választ elektronikus úton kérte, az adatigénylésre adott válasz kiküldésére a parlamenti államtitkár jóváhagyását követően – az ügyintéző útján – az erre a célra létrehozott központi e-mail-címről kerül sor.
22. Az eljárás lezárását követő intézkedések
38. § Az ügy lezárását, azaz az igény teljesítését, az igény jogerős elutasítását, illetve az esetlegesen felmerülő költségek megfizetését követően az igénylő személyes adatainak az ügyiratból felismerhetetlenné tételéről – anonimizálás útján – haladéktalanul intézkedni kell.
23. Nyilvántartás, adatszolgáltatás és tájékoztatás
39. § (1) Az Ágazati Kapcsolatok Osztálya az igényekről, az igények elintézésének módjáról, elutasító döntés esetében annak indokáról nyilvántartást vezet.
(2) Az Ágazati Kapcsolatok Osztálya az (1) bekezdés szerinti nyilvántartásból teljesíti az Infotv. 71/D. § (4) bekezdésében meghatározott adatszolgáltatást, meghatározott módon és határidőben.
(3) Az igények intézésének rendjére vonatkozó, az Infotv. 34. § (3) bekezdése szerinti tájékoztatót az igények benyújtására biztosított minisztériumi elérhetőségekkel együtt a Minisztérium a „Közérdekű adatok” hivatkozás alatt honlapján közzéteszi.
ZÁRÓ RENDELKEZÉSEK
40. § Ez az utasítás a közzétételét követő napon lép hatályba.
- Hatályos
- Már nem hatályos
- Még nem hatályos
- Módosulni fog
- Időállapotok
- Adott napon hatályos
- Közlönyállapot
- Indokolás