3/2019. (III. 20.) BVOP utasítás

a büntetés-végrehajtási szervek Adatvédelmi és Adatbiztonsági Szabályzatáról

A jogalkotásról szóló 2010. évi CXXX. törvény 23. § (4) bekezdés c) pontja alapján - figyelemmel az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 25/A. § (3), 30. § (6), valamint 35. § (3) bekezdésére - kiadom az alábbi utasítást:

I.

Általános rendelkezések

1. Az utasítás hatálya a Büntetés-végrehajtás Országos Parancsnokságára (a továbbiakban: BVOP), a büntetésvégrehajtási intézetekre és intézményekre, a fogvatartottak kötelező foglalkoztatására létrehozott gazdasági társaságokra (a továbbiakban együtt: bv. szervek), valamint az állományukban szolgálatot teljesítő hivatásos szolgálati jogviszonyban, rendvédelmi igazgatási szolgálati jogviszonyban, munkavállalói jogviszonyban, valamint közfoglalkoztatási jogviszonyban álló állománytagokra (a továbbiakban: személyi állomány) terjed ki.

2. Az utasítás hatálya kiterjed a bv. szervek valamennyi adatkezelésére, amely személyes adatra (ideértve a különleges, genetikai, biometrikus, egészségügyi, bűnügyi személyes adatot stb.) vagy közérdekű, illetve közérdekből nyilvános adatra vonatkozik, az adatkezelés céljától (pl. munkáltatói, gazdasági, bűnüldözési stb.) az adatkezelés típusától (papíralapú, digitálisan kezelt) és az adatkezelési műveletek során alkalmazott eljárástól függetlenül. A bv. szervek területén, illetve területét határoló külső falakon és kapujánál, valamint az elítéltek szállítására szolgáló járműben elhelyezett elektronikus megfigyelési eszközök alkalmazása során jelen utasítás rendelkezései is irányadóak.

3. Az utasítás kibocsátásának célja a személyes adatok védelméhez fűződő alapvető jogon alapuló információs önrendelkezési jog érvényesülése érdekében az adatvédelmi és adatbiztonsági előírások meghatározása, valamint a közérdekű adatok megismeréséhez és terjesztéséhez fűződő alapvető jogon alapuló információszabadság érvényesülése érdekében a bv. szervek kezelésében lévő közérdekű adatok megismerésére irányuló igények elbírálásával, valamint az elektronikus formában közzéteendő adatok nyilvánosságra hozatalával összefüggő feladatok meghatározása.

II.

Az adatkezelő szerv vezetőjének felelőssége, feladat- és hatásköre

4. Az adatvédelemre és információszabadságra vonatkozó előírások alkalmazása során adatkezelő szerv vezetőjének kell tekinteni a bv. szervek vezetőit.

5. Az adatkezelő szerv vezetője felelős:

a) a vezetése alá tartozó szerv adatvédelmi és adatbiztonsági intézményrendszerének kiépítéséért és működtetéséért, ennek keretében a szerv által kezelt személyes adatok védelméhez szükséges személyi, tárgyi és technikai feltételek biztosítását célzó, hatáskörébe tartozó műszaki és szervezési intézkedések megtételéért;

b) az alárendelt személyi állomány adatvédelmi oktatásáért és továbbképzéséért;

c) a vezetése vagy irányítása alá tartozó szerv tevékenységének rendszeres adatvédelmi ellenőrzéséért, az ellenőrzés során esetlegesen feltárt hiányosságok vagy jogszabálysértő körülmények megszüntetéséért, a személyi felelősség megállapításához szükséges eljárás kezdeményezéséért, illetve lefolytatásáért, az általa vezetett szerv közzétételi listáinak naprakészségéért;

d) az adatkezeléssel érintettek az Európai Parlament és a Tanács a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló (EU) 2016/679 rendeletében (a továbbiakban: általános adatvédelmi rendelet), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvényben (a továbbiakban: Infotv.), valamint az adott adatkezelést szabályozó ágazati jogszabályban meghatározott jogainak gyakorolásához szükséges feltételek biztosításáért;

e) az általa vezetett bv. szerv, illetve irányítása alá tartozó szervek tevékenységéért, azok törvényes és szakszerű működéséért, ezen belül az irányítása alatt álló személyi állomány adatkezelői tevékenységéért, az adatvédelmi előírások, valamint a kapcsolódó ügyviteli és minősített adat védelmére vonatkozó szabályok betartásáért.

6. Az adatkezelő szerv vezetőjének személyes felelőssége nem zárja ki az egyes állománytagok felelősségét.

7. Amennyiben a személyes adatokhoz való jog megsértése miatt a bv. szervnek sérelemdíj, kártérítés fizetési kötelezettsége keletkezik, a személyes adatokhoz fűződő jogsértést ténylegesen elkövető személy kilétének felderítésére mindent meg kell tenni, és amennyiben ez sikerrel jár, vele szemben kártérítési eljárást kell kezdeményezni, ha annak feltételei fennállnak.

8. Az adatkezelő szerv vezetőjének feladat- és hatásköre:

a) a jogszabály által a feladat- és hatáskörébe utalt adatkezelési rendszerek egészének (nyilvántartások, adattárak, munkafolyamatok, információáramlások és feldolgozások, jogosultságok) kialakítása és irányítása, rendeltetésszerű működtetése, időszakos felülvizsgálata,

b) a személyes adatok megfelelő biztonságának biztosítása érdekében az adatkezelések szervezeti és működési feltételeinek kialakítása, a működési és az adatbiztonsági követelmények érvényre juttatásának biztosítása,

c) az érintettek jogai érvényesülésének biztosítása érdekében az érintettek megfelelő tájékoztatására, valamint az érintetti kérelmek határidőben történő elbírálására alkalmas eljárásrend kialakítása,

d) az adatvédelmi és adatbiztonsági szabályok gyakorlati érvényesülésének ellenőrzése, intézkedés a hiányosságok felszámolására.

III.

A BVOP adatvédelmi tisztviselője

9. A BVOP adatvédelmi tisztviselője a BVOP Hivatal vezetője, helyettese a Jogi és Adatkezelési Főosztály vezetője.

10. Az adatvédelmi tisztviselő ellátja a személyes adatok védelmével és a közérdekű adatok nyilvánosságával kapcsolatos feladatokat, munkaköri leírásában ezen feladatokat rögzíteni kell.

11. A BVOP adatvédelmi tisztviselője feladatai:

a) tájékoztatást nyújt és szakmai tanácsot ad a vonatkozó európai uniós és hazai jogszabályokban foglalt adatvédelmi rendelkezések szerinti kötelezettségekről;

b) figyelemmel kíséri az adatvédelemmel és információszabadsággal összefüggő jogszabályváltozásokat, ellenőrzi a személyes és közérdekű adatok kezelésére vonatkozó jogszabályok és belső szabályozó eszközök érvényesülését;

c) közreműködik, illetve segítséget nyújt az adatkezeléssel összefüggő döntések meghozatalában, valamint az érintettek jogainak biztosításában;

d) közreműködik az adatvédelmi hatásvizsgálat lefolytatásában;

e) gondoskodik a belső adatvédelmi és adatbiztonsági szabályzat folyamatos aktualizálásáról;

f) gondoskodik az adatvédelmi nyilvántartás és az adatvédelmi incidensek nyilvántartásának vezetéséről;

g) adatvédelmi incidens bekövetkezése esetén haladéktalanul intézkedik annak kezelésére, valamint szükség esetén ellátja a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) részére történő bejelentéssel, illetve az érintett tájékoztatásával kapcsolatos feladatokat; indokolt esetben a szolgálati út betartása mellett büntető-, szabálysértési, fegyelmi eljárást vagy egyéb felelősségre vonást kezdeményez;

h) a feladatkörébe tartozó bejelentéseket kivizsgálja, illetve kivizsgálásra továbbítja az illetékes adatkezelő szerv vezetőjének, valamint ellenőrzi a bejelentés tárgyában tett intézkedést;

i) kapcsolatot tart a Hatósággal és a társszervekkel;

j) nyilvántartást vezet és minden év január 31-éig tájékoztatja a Hatóságot a bv. szervek elutasított közérdekű adatigényléseinek számáról és az elutasítások indokairól;[1]

k) tájékoztatja a Hatóságot az adatvédelmi tisztviselő adatairól (név, postai és elektronikus levélcím) és azok változásáról, továbbá gondoskodik ezen adatok a bv. szervezet honlapján történő közzétételéről;

l) állásfoglalást ad a BVOP szakterületei, valamint a bv. szervek részére az adatok nyilvánossága, megismerhetősége tárgyában;

m) ellátja az Elektronikus információs rendszer biztonságáért felelős személy irányításán keresztül az SZMSZ-ben és a külön jogszabályban meghatározott feladatait;

n) megszervezi az adatvédelmi tárgyú továbbképzéseket.

12. Az adatvédelmi tisztviselő feladatai elvégzéséhez szükséges mértékben - a minősített adatra vonatkozó szabályok megtartásával - korlátozás nélkül jogosult a bv. szervek szakterületeinek adatkezeléseibe, az azzal kapcsolatos ügyiratokba betekinteni.

IV.

A bv. szervek adatvédelmi tisztviselői

13. A bv. szervek vezetői kötelesek az irányításuk alá tartozó személyi állományból az adatvédelmi tevékenység irányítása, felügyelete és ellenőrzése érdekében - a személyes adatok védelmére vonatkozó jogi előírások és jogalkalmazási gyakorlat megfelelő szintű ismeretével rendelkező, a szerv jogszabályokban előírt, személyes adatok kezelésére vonatkozó kötelezettségei teljesítésének elősegítésére alkalmas - adatvédelmi tisztviselőt, valamint akadályoztatása esetére helyettest, helyetteseket kijelölni. Az adatvédelmi tisztviselő egyéb feladatokkal csak az adatvédelmi feladatok ellátásának veszélye nélkül bízható meg.

14. Az adatvédelmi tisztviselő eljár a részére átruházott - munkaköri leírásában rögzített - adatvédelemmel összefüggő feladatkörökben, az adatkezelő szerv vezetője ugyanakkor továbbra is felelős az adatkezelés jogszerűsége érdekében hatáskörébe tartozó intézkedések megtételéért. Az adatvédelmi tisztviselő helyettesének, helyetteseinek adatvédelemmel összefüggő feladatkörei megegyeznek az adatvédelmi tisztviselő adatvédelemmel összefüggő feladatköreivel.

15. Az adatvédelmi tisztviselő feladatai:

a) tájékoztatást nyújt és szakmai tanácsot ad a vonatkozó európai uniós és hazai jogszabályokban foglalt adatvédelmi rendelkezések szerinti kötelezettségekről;

b) figyelemmel kíséri az adatvédelemmel és információszabadsággal összefüggő jogszabályváltozásokat, ellenőrzi a személyes és közérdekű adatok kezelésére vonatkozó jogszabályok és belső szabályozó eszközök érvényesülését;

c) közreműködik, illetve segítséget nyújt az adatkezeléssel összefüggő döntések meghozatalában, valamint az érintettek jogainak biztosításában;

d) közreműködik az adatvédelmi hatásvizsgálat lefolytatásában;

e) elkészíti az adatkezelő szerv adatvédelmet érintő belső szabályozó eszközeinek tervezetét;

f) vezeti az adatkezelő szerv adatvédelmi nyilvántartását, valamint az adatvédelmi incidensek nyilvántartását;

g) kivizsgálja a bv. szerv adatkezelésével összefüggésben érkező panaszokat, kifogásokat;

h) az adatkezelő szerv vezetőjének megbízásából ellenőrzi az adatkezelő szervnél az adatvédelmi követelmények megtartását, adatvédelmi incidens bekövetkezése esetén haladéktalanul intézkedik annak kezelésére, valamint szükség esetén ellátja a Hatóság részére való bejelentéssel, illetve az érintett tájékoztatásával kapcsolatos feladatokat; indokolt esetben az adatkezelő szerv vezetőjénél kezdeményezi a felelősség megállapításához szükséges eljárás lefolytatását;

i) a bejelentésköteles incidensekről a jegyzőkönyv felterjesztésével jelentést tesz, továbbá a honlapon közzététellel megvalósuló érintetti tájékoztatás esetén annak tervezetét jóváhagyás céljából azonnal felterjeszti a BVOP adatvédelmi tisztviselőjének;

j) tájékoztatja a Hatóságot az adatvédelmi tisztviselő adatairól (név, postai és elektronikus levélcím) és azok változásáról, továbbá gondoskodik ezen adatok nyilvánosságra hozataláról;

k) gondoskodik a bv. szerv személyi állományának oktatásáról;

l) felügyeli az adatkezelő szerv adattovábbítási tevékenységét, különös tekintettel a nemzetközi együttműködés keretében továbbítandó személyes adatokra, felkérésre adatvédelmi szempontból állást foglal az adatok továbbításának jogszerűségével kapcsolatban;

m) közreműködik a kérelem tárgyában érintett szakterülettel az érintett hozzáférési joga gyakorlására vonatkozó kérelmére, illetve a közérdekű adat megismerésére irányuló kérelmekre adandó válasziratok elkészítésében;

n) a beérkezett közérdekű adatigénylést haladéktalanul, az elkészített választervezetet az adatigénylés beérkezését követő 8 napon belül felterjeszti a BVOP adatvédelmi tisztviselője részére;

o) a Hatóság részéről érkezett megkeresést, valamint az elkészített választervezetet felterjeszti a BVOP adatvédelmi tisztviselője részére,[2]

p) ellátja mindazon feladatokat, amelyeket a bv. szerv adatvédelmi és adatbiztonsági szabályzata részére feladatként meghatároz.

q) a Hatóság részéről érkezett megkeresést, valamint az elkészített választervezetet felterjeszti a BVOP adatvédelmi tisztviselője részére.[3]

16. Az adatvédelmi tisztviselő adatvédelemmel összefüggő feladatainak ellátása során szükség szerint együttműködik az informatikai szakterülettel és az elektronikus információs rendszer biztonságáért felelős személlyel, valamint az adatkezeléssel érintett szakterületekkel.

V.

A bv. szervek által vezetett nyilvántartások és az adatvédelmi nyilvántartás

17. A bv. szervek az általuk kezelt személyes adatokról a Robotzsaru integrált ügyviteli, ügyfeldolgozó és elektronikus iratkezelő rendszerben e célból létrehozott iktatókönyvben adatvédelmi nyilvántartást vezetnek.

18. A bv. szerv által kezelt, személyes adatot tartalmazó adatkezelések adatvédelmi nyilvántartásba vételét az érintett szakterület az 1. melléklet szerinti adatlap megküldésével kezdeményezi az adatvédelmi tisztviselőnél.

19. A bv. szervek szakterületei gondoskodnak az általuk kezelt személyes adatok vonatkozásában az adatvédelmi adatlap folyamatos felülvizsgálatáról és szükség szerinti aktualizálásáról, az adatvédelmi adatlap tartalmában bekövetkezett változás esetén az aktualizált adatvédelmi adatlapot haladéktalanul továbbítják a bv. szerv adatvédelmi tisztviselője részére.

20. A bv. szervek által kezelt személyes adatokba betekintésekről, valamint az adatok és azok kezelésével összefüggő információk érintett részére való rendelkezésre bocsátásáról az érintett szakterület a 2. melléklet szerinti betekintési nyilvántartást vezet, amely tartalmazza

a) a betekintést/másolatot kérő, hozzáférési jogot gyakorló nevét, rendelkezésre álló azonosító adatait,

b) a kérelem keltét,

c) az igényelt adatok, illetve információk körét,

d) a kérelem teljesítésének időpontját,

e) a hozzáférés, betekintés korlátozásának vagy megtagadásának jogi és ténybeli indokait.

21. Az adattovábbításról a 3. melléklet szerinti adattovábbítási nyilvántartást kell vezetni. A nyilvántartás vezetése annak a szakterületnek a feladata, amely az adattovábbítást végezte. A törvényi előíráson alapuló, rendszeres adattovábbításokat elegendő a nyilvántartásban egyszer, a jogszabályi hely megjelölésével, az adattovábbítási időpontok/időszakok megjelölésével, valamint az érintett adatkör és személyi kör megjelölésével feltüntetni, azonban a jogszabályváltozás miatt bekövetkezett változásokat ebben az esetben is dokumentálni kell.

22. Az adattovábbítási nyilvántartás tartalmazza

a) az érintett nevét,

b) az adattovábbítás időpontját,

c) az adattovábbítás célját és jogalapját,

d) az adatigénylő nevét vagy megnevezését,

e) a továbbított adatok fajtáját (maguk a szolgáltatott adatok nem képezik az adattovábbítási nyilvántartás részét).

23. A bv. szervnél rendszeresített személyes adatot kezelő elektronikus nyilvántartásokból is előállítható az adattovábbítási nyilvántartás, amennyiben az adattovábbítás e rendszeren keresztül történt. Az adattovábbítási nyilvántartásnak ebben az esetben is meg kell felelnie a tartalmi követelményeknek.

24. A bv. szervek az általuk kezelt adatokkal összefüggésben felmerült adatvédelmi incidensekről a 4. melléklet szerinti jegyzőkönyvekből álló nyilvántartást vezetnek, mely tartalmazza az incidens

a) leírását, bekövetkezésének körülményeit (helye, időpontja, oka stb.),

b) hatásait (érintetti jogok sérülése, érintetti kör nagysága stb.),

c) kezelésére tett intézkedéseket (kezelés módja, időpontja, Hatóságnál való bejelentés, érintett értesítése esetén ennek ténye stb.).

25.[4]

VI.

Az adatvédelmi hatásvizsgálat és az előzetes konzultáció

26. Valamennyi új vagy a korábbiaktól eltérő adatkezelést előíró vagy eredményező jogszabály vagy belső szabályozó eszköz, eljárásrend, eszköz vagy technológia bevezetését vagy változását megelőzően, az előkészítés során az adatvédelmi tisztviselő megvizsgálja, hogy a tervezett adatkezelésnek várhatóan milyen hatásai lesznek az érintettek alapvető jogai érvényesülésére (a továbbiakban: előzetes kockázatbecslés).

27. Az előzetes kockázatbecslés során az adatvédelmi tisztviselő az általános adatvédelmi rendelet, illetve az Infotv. rendelkezései alapján, a Hatóság iránymutatásai figyelembevételével, szükség esetén az érintett szakterületek véleményének kikérésével vagy bevonásával azonosítja a tervezett adatkezeléssel járó várható kockázatokat az érintettek alapvető jogai érvényesülése vonatkozásában. Az adatvédelmi tisztviselő az előzetes kockázatbecslés eredményét írásban rögzíti.

28. Nem szükséges adatvédelmi hatásvizsgálatot lefolytatni, amennyiben az adatvédelmi tisztviselő megállapítja, hogy

a) az előzetes kockázatbecslés alapján a tervezett adatkezelés valószínűsíthetően nem jár magas kockázattal,

b) a tervezett adatkezelés a Hatóság által meghatározott kivételi körbe tartozik,

c) a tervezett adatkezeléssel megegyező adatkezelés esetében korábban lefolytatott adatvédelmi hatásvizsgálat eredménye rendelkezésre áll, vagy

d) a jogszabályban előírt adatkezelés esetében a jogalkotó lefolytatta előzetesen a hatásvizsgálatot.

29. Az adatvédelmi hatásvizsgálat lefolytatásáról vagy mellőzéséről az adatvédelmi tisztviselő által tett megállapítások figyelembevételével a bv. szerv vezetője dönt.

30. Az adatvédelmi hatásvizsgálat lefolytatásának elrendelése esetén a bv. szerv vezetője a tervezett adatkezelés tárgyát, formáját figyelembe véve kijelöli az abban részt vevő személyeket, illetve szakterületeket.

31. Az adatvédelmi hatásvizsgálat lefolytatásának mellőzése esetén annak indokait az adatvédelmi tisztviselő írásban rögzíti, és az előzetes kockázatbecslés irataihoz csatolja.

32. Az adatvédelmi hatásvizsgálat lefolytatása során az általános adatvédelmi rendelet, illetve az Infotv. rendelkezései alapján, a Hatóság iránymutatásai figyelembevételével az arra kijelölt csoport a Hatóság honlapjáról letölthető adatvédelmi hatásvizsgálati szoftver ("PIA software") alkalmazásával rögzíti

a) a tervezett adatkezelési műveletek általános leírását és az adatkezelés céljainak meghatározását,

b) a tervezett adatkezelés céljaira figyelemmel az adatkezelési műveletek vonatkozásában elvégzett szükségességi és arányossági vizsgálat eredményét,

c) az érintett alapvető jogai érvényesülését fenyegető kockázatokat,

d) a kockázatok kezelését célzó adatbiztonsági intézkedések részletes leírását és értékelését.

33. Az adatvédelmi hatásvizsgálat eredményéről összefoglaló jelentés készül, mely tartalmazza a hatásvizsgálat lefolytatásának okait, a lefolytatására kijelölt csoportban részt vevők szerep- és felelősségi köreit, a 32. pontban foglaltakat, valamint annak megállapítását, hogy a hatásvizsgálat alapján a tervezett adatkezelés magas kockázatú-e.

34. A bv. szerv vezetője a tervezett adatkezelés megkezdését megelőzően előzetes konzultációt kezdeményez a Hatósággal, amennyiben

a) az adatvédelmi hatásvizsgálat eredményeként megállapításra kerül, hogy a tervezett adatkezelés az érintettek alapvető jogai érvényesülésére nézve magas kockázattal jár, vagy

b) a tervezett adatkezelés a Hatóság honlapján közzétett hatásvizsgálati listán szereplő magas kockázatúnak minősített adatkezelés-típusnak minősül.

35. Az összefoglaló jelentés alapján az adatkezelés megkezdését megelőzően a bv. szerv vezetője meghatározza az adatkezelés megvalósulásának nyomon követésében részt vevő személyeket, illetve szakterületeket és az adatkezelés felülvizsgálatának gyakoriságát és módszerét.

VII.

Az adatkezelések megkezdésének, az érintetti jogok érvényesítésének eljárásrendje

36. Az adatkezelés jogalapja az alábbiak figyelembevételével határozható meg:

a) személyes adat az általános adatvédelmi rendelet hatálya alá tartozó kezelésére az általános adatvédelmi rendelet 6. cikkében,

b) különleges adat az általános adatvédelmi rendelet hatálya alá tartozó kezelésére az általános adatvédelmi rendelet 9. cikkében,

c) személyes adat az Infotv. hatálya alá tartozó bűnüldözési célú kezelésére az Infotv. 5. §-ában,

d) különleges adat az Infotv. hatálya alá tartozó bűnüldözési célú kezelésére az Infotv. 5. §-ában

felsorolt jogalapok alapján kerülhet sor.

37. A hozzájárulást igazolható módon, elsősorban írásban vagy más rögzített formában kell dokumentálni.[5]

38. A bv. szerv az érintett részére az adatkezelés megkezdése előtt vagy az első adatkezelési művelet megkezdését követően haladéktalanul írásban rendelkezésre bocsátja

a) az adatkezelő - bevonása esetén az adatfeldolgozó - megnevezését és elérhetőségeit,

b) az adatvédelmi tisztviselő adatait (név, postai és elektronikus levélcím),

c) az adatkezelés célját és

d) az érintettet adatkezeléssel kapcsolatban megillető jogok (hozzáféréshez, helyesbítéshez, korlátozáshoz és törléshez való jog), valamint azok érvényesítése módjának (Hatósághoz vagy bírósághoz fordulás) ismertetését.

39. A bv. szerv az érintett részére az adatkezelés megkezdése előtt vagy az első adatkezelési művelet megkezdését követően haladéktalanul tájékoztatást nyújt

a) az adatkezelés jogalapjáról,

b) a kezelt személyes adatok megőrzésének időtartamáról,

c) a kezelt személyes adatok továbbítása vagy tervezett továbbítása esetén az adattovábbítás címzettjeinek köréről,

d) a kezelt személyes adatok gyűjtésének forrásáról és

e) az adatkezelés körülményeivel összefüggő minden további érdemi tényről.

40. Az érintettek 38-39. pontban foglalt előzetes tájékoztatása az adatkezelést végző szerv vagy szakterület kötelezettsége. Az előzetes tájékoztatás megtörténtét írásban rögzíteni kell.

41. Az érintett által benyújtott, hozzáféréshez, helyesbítéshez, az adatkezelés korlátozásához vagy törléshez való joga érvényesítésére irányuló kérelem elbírálása és megválaszolása a bv. szerv a kérelemmel érintett adatkezelést végző szakterületének feladata.

42. A bv. szervek kötelesek a nyilvántartásba vett adatkezeléseiket időszakosan felülvizsgálni abból a szempontból, hogy az adatkezelés céljának megvalósulásához szükséges-e a személyes adatok kezelése, illetve az általános adatvédelmi rendelet és az Infotv. rendelkezéseinek megfelel-e. Törvényben elrendelt kötelező adatkezelés esetén a felülvizsgálatot az adatkezelést elrendelő jogszabályban meghatározott gyakorisággal, ennek hiányában, továbbá nem kötelező adatkezelés esetén legfeljebb háromévente el kell végezni. A felülvizsgálat körülményeit és eredményét írásban kell dokumentálni, az iratot tíz évig meg kell őrizni.

VIII.

Az adatvédelmi incidens kezelése

43. Adatvédelmi incidens bekövetkezésének észlelése esetén haladéktalanul jelentést kell tenni a bv. szerv szakterületi vezetőjének.

44. A szakterület vezetője haladéktalanul tájékozódik a bekövetkezett adatvédelmi incidens körülményiről, szükség esetén az adatvédelmi tisztviselő bevonásával felméri, hogy az incidens valószínűsíthetően kockázatot eredményez-e az érintettek jogai érvényesülése vonatkozásában, és intézkedik a kárelhárítás, kárenyhítés érdekében.

45. A szakterület vezetője

a) haladéktalanul értesíti az adatvédelmi tisztviselőt az adatvédelmi incidens bekövetkezéséről, és rendelkezésére bocsátja az incidenssel kapcsolatban rendelkezésre álló iratokat és információkat, amennyiben az előzetes felmérés alapján valószínűsíthetően kockázattal jár az adatvédelmi incidens,

b) írásban tájékoztatja az adatvédelmi tisztviselőt az adatvédelmi incidens bekövetkezéséről, amennyiben a felmérés során megállapítja, hogy nem jár kockázattal az incidens.

46. A 45. pont a) alpontja szerinti esetben az adatvédelmi tisztviselő a rendelkezésre álló iratok, információk alapján, valamint szükség esetén az érintett szakterület(ek), illetve a szükséges szakértelemmel rendelkező személy bevonásával elvégzi a kockázatbecslést a bekövetkezett adatvédelmi incidenssel összefüggésben.

47. Amennyiben a kockázatbecslés eredménye alapján az adatvédelmi incidens kockázattal jár az érintettek jogai érvényesülése vonatkozásában, az adatvédelmi tisztviselő lehetőség szerint a tudomásszerzést követő 72 órán belül a Hatóság honlapján elérhető adatvédelmi incidensbejelentő rendszeren keresztül megteszi a bejelentést, ezzel egyidejűleg jelentést tesz a bv. szerv vezetője felé a bekövetkezett adatvédelmi incidensről. Amennyiben a bejelentés nem teljesíthető az előírt határidőben, a bejelentésben meg kell jelölni a késedelem okait.

48. Amennyiben a kockázatbecslés eredménye alapján az adatvédelmi incidens magas kockázattal jár az érintettek jogai érvényesülése vonatkozásában, és nem áll fenn az általános adatvédelmi rendeletben, illetve az Infotv.-ben meghatározott mentesülési okok egyike sem, az adatvédelmi tisztviselő haladéktalanul jelentést tesz a bv. szerv vezetője felé, és dokumentált módon tájékoztatja az érintetteket, vagy amennyiben a közvetlen tájékoztatás aránytalan erőfeszítéssel járna, intézkedik a tájékoztatás közzétételéről a bv. szerv honlapján.

IX.

Eljárás a Hatóság fellépése esetén

49. Amennyiben a bv. szervnél a Hatóság

a) vizsgálatot,

b) adatvédelmi hatósági eljárást vagy

c) titokfelügyeleti hatósági eljárást

indít, az érintett adatkezelő szerv adatvédelmi tisztviselője a BVOP adatvédelmi tisztviselőjét - a szolgálati út betartásával - haladéktalanul értesíti.

50. A Hatóság vizsgálatával, valamint az adatvédelmi és a titokfelügyeleti hatósági eljárással érintett adatkezelő szakterületi vezetője köteles a Hatóság részére

a) minden szükséges tájékoztatást szóban és írásban megadni,

b) az összes olyan adat megismerését és iratba való betekintést és a másolatok készítését lehetővé tenni, amely személyes adatokkal, közérdekű adatokkal vagy közérdekből nyilvános adatokkal összefügghet,

c) biztosítani azokba a helyiségekbe való belépést, ahol adatkezelés folyik, valamint az adatkezelési műveletek végzéséhez használt eszközökhöz való hozzáférést,

d) a minősített adatok megismerését elősegíteni.

51. Ha a bv. szerv a Hatóság adatvédelmi és titokfelügyeleti hatósági eljárásban hozott határozatát nem fogadja el, adatvédelmi hatósági eljárás esetén az adatvédelmi tisztviselő, titokfelügyeleti hatósági eljárás esetén a biztonsági vezető véleményének kikérését követően a bírósági felülvizsgálat kezdeményezésére nyitva álló határidőn belül a bírósághoz fordulhat.

52. A bíróság jogerős döntéséig a vitatott adatkezeléssel érintett adatok nem törölhetők, illetve nem semmisíthetők meg.

X.

Adatbiztonsági intézkedések

53. A személyes adatok megfelelő szintű biztonságának biztosítása érdekében az egyes adatkezelésekhez a hozzáférési jogosultságot a jogosult elöljárójának személyre szólóan kell megállapítania, figyelemmel a kijelölt vagy felhatalmazott személy beosztására és az ahhoz kapcsolódó jogszabályban meghatározott feladatra. A jogosultságot az érintett munkaköri leírásában is rögzíteni kell. Amennyiben a jogosultság megállapítására alapot adó körülményben változás történik, haladéktalanul intézkedni kell a jogosultság módosítására vagy visszavonására.

54. A jogosultságot megállapító vezető köteles gondoskodni arról, hogy a betekintési és hozzáférési jogosultságok a személyzeti változásokkal összhangban aktualizálásra kerüljenek. A személyi állomány tagja jogviszonyának megszűnése esetén legkésőbb az érintett utolsó munkában töltött napján intézkedni kell a betekintési és hozzáférési jogosultságok visszavonására. A leszerelő lap mindaddig nem írható alá, amíg a betekintési, illetve hozzáférési jogosultság visszavonásának tényét a leszerelő lap szignálásával az arra hatáskörrel rendelkező szakterületek nem igazolták.

55. Közfoglalkoztatott kizárólag abban az esetben láthat el ügykezelői, ügyviteli feladatokat, amennyiben a munkavégzés céljából rendelkezésére bocsátott adatok kezelése egyértelműen azonosítható, és esetleges későbbi adatsértés esetén bizonyítható, hogy ki és milyen mértékben ismerhette meg azokat, valamint amennyiben a közfoglalkoztatott a jelen utasításban, a büntetés-végrehajtási szervezet Egységes Iratkezelési Szabályzatában és a büntetés-végrehajtási szervezet Informatikai Biztonsági Szabályzatában foglaltak ismeretéből beszámol, továbbá amennyiben nyilatkozatot tesz, amelyben felelősséget vállal az adatvédelmi és adatbiztonsági szabályok betartásáért.

56. A személyes adatok fizikai biztonságának biztosítása érdekében a személyes vagy különleges adatot tartalmazó papíralapú iratokat, illetve adathordozókat a megismerésre nem jogosult személyek elől elzárva, zárt páncélszekrényben, lemezszekrényben, irodabútorban vagy irattári helyiségben kell őrizni.[6]

57. Az elektronikus információs rendszerben keletkezett, feldolgozott vagy továbbított személyes adatok adminisztratív, fizikai és logikai védelmének - mely az elektronikus információs rendszerben kezelt adatok bizalmassága, sértetlensége és rendelkezésre állása, valamint a rendszer elemeinek sértetlensége és rendelkezésre állása szempontjából zárt, teljes körű, folytonos és a kockázatokkal arányos - biztosítása érdekében az 58-60. pontban meghatározott intézkedéseket kell tenni.

58. Az adminisztratív védelem keretében gondoskodni kell szervezési, szabályozási, ellenőrzési intézkedések megtételéről, továbbá a védelemre vonatkozó oktatásról.

59. A fizikai védelem keretében biztosítani kell a rendelkezésre állás és működőképesség megőrizhetőségének követelményeit. A bv. szerv tulajdonában, használatában lévő hardvereszközöket kategorizálni kell a hardvereszközön keletkezett, feldolgozott vagy továbbított adat kategóriának megfelelően. A hardvereszközök védelmi intézkedéseinek kialakításánál figyelembe kell venni az adat érzékenységét, és biztosítani kell az adat magas fokú rendelkezésre állását.

60. A logikai védelmi megoldásoknak biztosítania kell az adat bizalmassága és sértetlensége megőrizhetőségének követelményeit. A logikai védelmi intézkedések kialakításánál figyelembe kell venni az adat érzékenységét. A védelmi intézkedések célja bizalmasság esetén, hogy az adatot, információt csak az arra jogosultak és csak a jogosultságuk szintje szerint ismerhetik meg, használhatják fel, illetve rendelkezhetnek a felhasználásáról, sértetlenség esetén az adat tartalma és tulajdonságai az elvárttal megegyeznek.

XI.

A közérdekű adatok közzétételének és a közérdekű adatigénylések intézésének eljárási szabályai

61. A bv. szervek kötelesek a bv. szervezet honlapján az 5. melléklet szerinti adatokat közzétenni az Infotv. 1. mellékletében meghatározott közlési és megőrzési időpontok szerint.

61/a. A bv. szervek az Infotv. 37/C. §-ában foglaltak alapján a Központi Információs Közadat-nyilvántartásba is kötelesek feltölteni az ott meghatározott adatokat az ott meghatározott bontásban és gyakorisággal.[7]

62. A honlapon közzéteendő adatok koordinálását a Kommunikációs Főosztály a tárgykör szerint illetékes szakterület közreműködésével végzi. A honlap karbantartása a BVOP-ra vonatkozóan a Kommunikációs Főosztály, a bv. szervekre vonatkozóan a bv. szerv vezetője által kijelölt személy feladata.

63. A BVOP tekintetében a közzéteendő adatok vonatkozásában az adatszolgáltatást

a) az 5. melléklet I. Szervezeti, személyzeti adatai vonatkozásában - a 10. pont kivételével - a Humán Szolgálat vezetője,

b) az 5. melléklet I. Szervezeti, személyzeti adatai közül a 10. pont, a II. Tevékenységre, működésre vonatkozó adatai közül a 2., 4., 7. és 10. pontban meghatározottak vonatkozásában a Kommunikációs Főosztály vezetője,

c) az 5. melléklet II. Tevékenységre, működésre vonatkozó adatai közül az 1., 6. és 13. pontban meghatározottak vonatkozásában a Jogi és Adatkezelési Főosztály vezetője,

d) az 5. melléklet II. Tevékenységre, működésre vonatkozó adatai közül a 11. és 12. pontban meghatározottak vonatkozásában a szakmailag illetékes főosztály vezetője,

e) az 5. melléklet III. Gazdálkodási adatok vonatkozásában - a 7-8. pont kivételével - a Közgazdasági Főosztály vezetője,

f) az 5. melléklet III. Gazdálkodási adatai közül a 7. pont vonatkozásában a projektet koordináló főosztály vezetője, a 8. pont vonatkozásában a Büntetés-végrehajtás Gazdasági Ellátó Intézete Beszerzési Osztály vezetője[8]

végzi.

64. A bv. szervek tekintetében a közzéteendő adatok vonatkozásában az adatszolgáltatásért a bv. szervek vezetői felelősek.

65. A BVOP-ra vonatkozó közzétételi kötelezettség alá eső adatokat informatikai úton kell továbbítani a Kommunikációs Főosztály részére. Az informatikai úton történő továbbítás BVOP szervezetén belüli infrastrukturális feltételeit, azok működtetéséhez szükséges technikai segítségnyújtást az Informatikai Főosztály biztosítja. Az adatok továbbítását az illetékes szakterületek a továbbítandó adat mennyiségi és minőségi tulajdonságai függvényében főként elektronikus levélként vagy elektronikus levél csatolmányaként vagy jogosultsági rendszeren alapuló file/mappa megosztással (BVORG) - e-mailen történő értesítéssel egyidejűleg - végzik.

66. A közérdekű adatigénylés teljesítésére az igény beérkezésétől számított legfeljebb 15 nap áll rendelkezésre, a határidő a bv. szervhez érkezést követő munkanapon kezdődik.

67. Az adatvédelmi tisztviselő az adatigénylés beérkezését követően haladéktalanul megvizsgálja az adatigénylést. Amennyiben az adatigénylés nem egyértelmű, a bv. szerv felhívja az adatigénylőt az igény pontosítására.

68. Ha az adatigényléssel érintett adat elektronikus formában nyilvánosan elérhető, az adatigénylés teljesíthető az adatot tartalmazó nyilvános forrás megjelölésével is.

69. Az adatvédelmi tisztviselő megvizsgálja, hogy az igénylő nyújtott-e be azonos adatkörre vonatkozó adatigénylést. Amennyiben megállapításra kerül, hogy az igényelt adatok megegyeznek az azonos igénylő által egy éven belül benyújtott adatigénylésben szereplő adatokkal, a bv. szerv nem köteles eleget tenni az adatigénylésnek abban a részében, feltéve, hogy az azonos adatkörbe tartozó adatokban változás nem állt be. Ennek érdekében a bv. szervek gondoskodnak az egy éven belül benyújtott közérdekű adatigényléseknek visszakereshetőségéről.

70. Ha az adatigénylés jelentős terjedelmű, illetve nagyszámú adatra vonatkozik, vagy az adatigénylés teljesítése a bv. szerv alaptevékenységének ellátásához szükséges munkaerőforrás aránytalan mértékű igénybevételével jár, az adatigénylés teljesítésére rendelkezésre álló 15 napos határidő egy alkalommal 15 nappal meghosszabbítható, erről a bv. szerv az adatigénylőt az igény beérkezését követő 15 napon belül tájékoztatja.

71. Az adatigénylés teljesítéséért az Infotv. 29. § (3)-(6) bekezdései alapján költségtérítés állapítható meg.

72. Az adatszolgáltatást a bv. szerv az Infotv. 29. § (3) bekezdése szerinti esetben a 66. pontban foglalt határidőben, az Infotv. 29. § (4) bekezdésében foglalt esetben a költségtérítésnek az adatigénylő általi megfizetését követő 15 napon belül teljesíti.

73. Amennyiben az igényelt közérdekű adatot tartalmazó dokumentum az igénylő által meg nem ismerhető adatot is tartalmaz, a választervezet összeállításakor figyelemmel kell lenni a meg nem ismerhető adatok felismerhetetlenné tételére.

74. Az adatigénylés teljesítésének megtagadása esetén a megtagadásról, annak indokairól, valamint a rendelkezésre álló jogorvoslati lehetőségekről az adatigénylőt az igény beérkezését követő 15 napon belül tájékoztatni kell.

XII.

Ellenőrzés

75. Az adatkezelési rendelkezések betartásának ellenőrzésére jogosult:

a) az adatkezelő szerv vezetője vagy az általa írásban kijelölt személy;

b) az adatkezelő szerv adatvédelmi tisztviselője;

c) a BVOP Ellenőrzési Szolgálatának és az adatkezelő szerv ellenőrzési szolgálata állományának erre felhatalmazott tagja;

d) a BVOP Jogi és Adatkezelési Főosztálya állományának erre felhatalmazott tagja;

e) a belügyminiszter által írásban felhatalmazott személy;

f) a jogszabályban erre felhatalmazott személy.

76. Az ellenőrzésre feljogosított az ellenőrzés céljára figyelemmel az ellenőrzés érdekében minden olyan helyiségbe beléphet, ahol adatkezelés folyik, az adatkezelést végzőktől minden olyan kérdésben felvilágosítást kérhet, minden olyan adatkezelést megismerhet, vagy abba betekinthet, amely az ellenőrzött szerv adatkezelési tevékenységével összefügg, és az adatok megismerését jogszabály nem korlátozza.

77. Az egyes bv. szervek, szakterületek szakmai tevékenységét érintő átfogó ellenőrzéseknek ki kell terjedniük a szakmai feladatellátáshoz szükséges adatkezelések törvényességének ellenőrzésére is.

78. Az ellenőrzés során feltárt hiányosságokról, esetleges jogszabály- vagy normasértésekről az ellenőrzést végző az ellenőrzés befejezését követően írásban köteles tájékoztatni az adatkezelő szerv vezetőjét, aki köteles haladéktalanul megtenni a jogszerű állapot helyreállításához szükséges intézkedéseket, illetve indokolt esetben elrendeli vagy kezdeményezi a személyi felelősség megállapításához szükséges eljárás lefolytatását.

XIII.

Oktatás, tájékoztatás

79. A bv. szerv állományába újonnan felvételre került olyan személyeket, akik munkakörüknél fogva személyes adatokat kezelnek, az adatvédelmi tisztviselő az érintettek közvetlen vezetője kezdeményezésére köteles az állományba vételt követő négy hónapon belül adatvédelmi oktatásban részesíteni, és részükre a szükséges jogszabályokat, belső normákat és egyéb segédanyagokat rendelkezésre bocsátani.

80. Az adatvédelmi tisztviselő az adatkezelő szerv személyes adatok kezelését végző személyi állományát a bekövetkezett adatvédelmi tárgyú jogszabály- és normaváltozásokról köteles tájékoztatni, indokolt esetben - különösen a jelentősebb adatvédelmi tárgyú normaváltozások vagy az ellenőrzés során feltárt visszatérő vagy egyébként súlyos hiányosságok esetén - az érintett állomány kötelező adatvédelmi oktatását elvégezni.

81. Az adatvédelmi tisztviselő az adatkezelő szerv információszabadsággal összefüggő feladatok ellátásáért felelős személyi állományát a közérdekű adatok nyilvánosságával összefüggő jogszabály- és normaváltozásokról köteles tájékoztatni, indokolt esetben - különösen a jelentősebb normaváltozások vagy az ellenőrzés során feltárt visszatérő vagy egyébként súlyos hiányosságok esetén - az érintett állomány kötelező, információszabadság tárgyú oktatását elvégezni.

82. Az adatvédelmi tisztviselők rendszeres továbbképzéséről a BVOP adatvédelmi tisztviselője gondoskodik.

XIV.

Záró rendelkezések

83. Ez az utasítás a közzétételét követő napon lép hatályba.

84. Az utasítás hatálybalépésétől számított 60 napon belül a bv. szervek vezetői kötelesek felülvizsgálni és jelen utasításnak megfelelően módosítani az irányításuk alá tartozó szerv adatvédelmi és adatbiztonsági szabályzatát.

85. A bv. szervek vezetői kötelesek a 42. pontban foglalt felülvizsgálatot első alkalommal 2019. december 31-ig elvégezni.

86.[9]

Dr. Tóth Tamás bv. vezérőrnagy s. k.,

országos parancsnok

1. melléklet a 3/2019. (III. 20.) BVOPutasításhoz

2. melléklet a 3/2019. (III. 20.) BVOP utasításhoz

3. melléklet a 3/2019. (III. 20.) BVOP utasításhoz

4. melléklet a 3/2019. (III. 20.) BVOP utasításhoz

5. melléklet a 3/2019. (III. 20.) BVOP utasításhoz

A BV. SZERVEK ÁLTAL KÖZZÉTEENDŐ KÖZADATOK LISTÁJA

I. Szervezeti, személyzeti adatok

II. Tevékenységre, működésre vonatkozó adatok

III. Gazdálkodási adatok