4/2012. (I. 24.) NMHH rendelet

a nyilvános elektronikus hírközlési szolgáltatáshoz kapcsolódó adatvédelmi és titoktartási kötelezettségre, az adatkezelés és a titokvédelem különleges feltételeire, a hálózatok és a szolgáltatások biztonságára és integritására, a forgalmi és számlázási adatok kezelésére, valamint az azonosítókijelzésre és hívásátirányításra vonatkozó szabályokról

Az elektronikus hírközlésről szóló 2003. évi C. törvény 182. § (3) bekezdés 20. pontjában kapott felhatalmazás alapján, a médiaszolgáltatásokról és a tömegkommunikációról szóló 2010. évi CLXXXV. törvény 109. § (5) bekezdésében meghatározott feladatkörömben eljárva a következőket rendelem el:

1. A rendelet hatálya

1. §[1] (1) E rendelet hatálya kiterjed

a) a Magyarországon nyilvánosan elérhető elektronikus hírközlési szolgáltatást nyújtó természetes személyre, jogi személyre és egyéb szervezetre (a továbbiakban együtt: szolgáltató),

b) az elektronikus hírközlési szolgáltatások előfizetőire (a továbbiakban: előfizető), valamint

c) az elektronikus hírközlésről szóló 2003. évi C. törvény (a továbbiakban: Eht.) 188. § 31. pontjában meghatározott felhasználók közül a természetes személy felhasználóra (a továbbiakban: felhasználó).

(2) E rendelet hatálya nem terjed ki a titkos információgyűjtésre és a leplezett eszközök alkalmazására törvényben feljogosított szervezetekre, valamint a kormányzati célú hálózat létesítésével és működtetésével összefüggő adatkezelésre.

2. A szolgáltatók személyes adatok védelmével kapcsolatos kötelezettségei

2. § (1) A szolgáltatónak a személyes adatok kezeléséhez a szolgáltatás nyújtása során alkalmazott elektronikus hírközlő eszközöket úgy kell megválasztania és üzemeltetnie, hogy a kezelt adat

a) az arra feljogosítottak számára hozzáférhető (rendelkezésre állás);

b) hitelessége és hitelesítése biztosított (adatkezelés hitelessége);

c) változatlansága igazolható (adatintegritás);

d) a jogosulatlan hozzáférés ellen védett (adat bizalmassága)

legyen.

(2) A szolgáltató olyan műszaki, szervezési és szervezeti intézkedésekkel köteles gondoskodni az adatkezelés biztonságának védelméről, amely az adatkezeléssel kapcsolatban jelentkező kockázatoknak megfelelő védelmi szintet nyújt.

(3)[2] A szolgáltató a (2) bekezdés szerinti intézkedéseit az Eht. 156. § (8) és (9) bekezdése szerinti legjobb gyakorlatról szóló ajánlás figyelembevételével alakíthatja ki.

3. §[3]

4. §[4]

5. §[5] (1)[6] A szolgáltató az Eht. 156. § (2)-(8) bekezdésében foglaltak alapján köteles haladéktalanul tájékoztatni a Nemzeti Média- és Hírközlési Hatóság Hivatalát (a továbbiakban: Hivatal) és az Eht. 156. § (5) bekezdésében meghatározott esetekben az előfizetőt vagy felhasználót a személyes adatok megsértésének (e rendelet alkalmazásában: személyes adatok megsértése) észlelése esetén.

(2)[7] A szolgáltató köteles a személyes adatok megsértését az észlelést követően haladéktalanul, de legfeljebb 24 órán belül elektronikus úton a Hivatalnak bejelenteni. A szolgáltató Hivatalhoz intézett bejelentésének tartalmaznia kell az (5)-(9) bekezdésben foglalt adatokat. A személyes adatok megsértésének észlelésére került sor, ha a személyes adatok megsértését eredményező biztonsági esemény (a továbbiakban: esemény) bekövetkeztéről a szolgáltató kellő tudomást szerzett ahhoz, hogy a Hivatalnak a jelen § szerinti bejelentést tegyen.

(3)[8] Amennyiben nem áll a szolgáltató rendelkezésére az (5)-(9) bekezdés szerinti valamennyi adat és a személyes adatok megsértésének esete további vizsgálatot igényel, a szolgáltató a személyes adatok megsértésének észlelését követően haladéktalanul, de legfeljebb 24 órán belül köteles első bejelentését megtenni a Hivatalnak (a továbbiakban: első bejelentés). A Hivatalhoz intézett első bejelentésnek az (5)-(6) bekezdésben foglalt információkat kell tartalmaznia.

(4)[9] A (3) bekezdés szerinti esetben a szolgáltató haladéktalanul, de legkésőbb az első bejelentést követő 72 órán belül köteles második bejelentését (a továbbiakban: második bejelentés) megtenni a Hivatalnak. A második bejelentésnek tartalmaznia kell a (7)-(9) bekezdésben foglalt információkat, és szükség esetén aktualizálni kell a már benyújtott információkat.

(5) A (2) bekezdésben foglalt bejelentésnek tartalmaznia kell a szolgáltató azonosító adatait, így az alábbiakat:

a) a szolgáltató neve;

b) a szolgáltató belső adatvédelmi felelősének neve és elérhetősége;

c) a (3) vagy (4) bekezdés szerinti első vagy második bejelentés esetén tájékoztatás arról, hogy az első vagy a második bejelentésről van-e szó.

(6) A személyes adatok megsértéséről szóló első bejelentésnek az (5) bekezdésben foglaltakon túl tartalmaznia kell az alábbiakat:

a) az esemény bekövetkeztének időpontja, szükség esetén becslés alapján, továbbá az esemény észlelésének időpontja;

b) a személyes adatok megsértésének módja és körülményei;

c) az érintett személyes adatok jellege és tartalma;

d) a szolgáltató által az érintett személyes adatok védelmére alkalmazott vagy alkalmazni tervezett műszaki és szervezeti intézkedések;

e) másik szolgáltató igénybevételével való összefüggés.

(7) A személyes adatok megsértéséről szóló második bejelentésnek tartalmaznia kell az alábbiakat:

a)[10] az esemény összefoglalása, megjelölve az adatok megsértésének fizikai és logikai helyét és az érintett adathordozót is;

b)[11] az érintett előfizetők vagy felhasználók száma;

c)[12] a lehetséges következmények és kedvezőtlen hatások ismertetése az előfizetőkre vagy felhasználókra nézve;

d) a lehetséges kedvezőtlen hatások enyhítésére a szolgáltató által alkalmazott műszaki és szervezeti intézkedések.

(8) Amennyiben az előfizetők vagy felhasználók (12) bekezdés szerinti értesítése megtörténik, az erről szóló, a Hivatalhoz intézett tájékoztatásnak az alábbiakat kell tartalmaznia:[13]

a)[14] az értesítés időpontja és tartalma, beleértve azokat az elérhetőségeket, ahol az előfizetők vagy felhasználók a személyes adatok megsértésével kapcsolatban további felvilágosítást kérhetnek;

b) az értesítés során alkalmazott kommunikációs eszköz megnevezése;

c)[15] az értesített előfizetők vagy felhasználók száma.

(9) Amennyiben a személyes adatok megsértésének határon átnyúló vonatkozásai vannak és az érintett adatok rendelkezésre állnak, a (2)-(4) bekezdés szerinti bejelentéseknek a határon átnyúló vonatkozásokkal kapcsolatban az alábbiakat kell tartalmazniuk:

a)[16] tájékoztatás arról, hogy a személyes adatok megsértésének érintettje között vannak-e más tagállamokban található előfizetők vagy felhasználók;

b) a más illetékes nemzeti hatóságok értesítéséről szóló tájékoztatás.

(10)[17] Amennyiben a szolgáltató az általa folytatott vizsgálat ellenére sem tudja valamennyi, a (7)-(9) bekezdésben foglalt információt az első bejelentéstől számított 72 órás határidőn belül benyújtani, köteles a rendelkezésére álló lehető legtöbb információt bejelenteni ezen határidőn belül a Hivatalnak, és a bejelentéshez köteles részletes indoklást csatolni arról, hogy a be nem jelentett információk bejelentését miért tudja csak az első bejelentéstől számított 72 órás határidőn túl teljesíteni. Ebben az esetben a szolgáltató köteles haladéktalanul bejelenteni a be nem jelentett információkat a Hivatalnak és - szükség esetén - köteles a már benyújtott információkat aktualizálni. A szolgáltató a (2)-(9) bekezdés alapján bejelentett személyes adatok megsértésének utánkövetéséről az esemény végleges lezárásáig vagy a személyes adatok megsértését kiváltó okok végleges megszüntetéséig havonta elektronikus úton tájékoztatja a Hivatalt.

(11)[18] A (2)-(9) bekezdésben foglalt bejelentést a szolgáltató magyar vagy angol nyelven, a Hivatal által biztosított elektronikus űrlapon teheti meg.

(12)[19] Az Eht. 156. § (5) bekezdése szerinti értesítést a szolgáltató a személyes adatok megsértésének észlelése után indokolatlan késedelem nélkül, de legfeljebb 24 órán belül, olyan kommunikációs eszközzel köteles teljesíteni, amely biztosítja az információ gyors célba érését, és amely a tudomány és a technika mindenkori állása szerint megfelelően biztonságos. Ilyen kommunikációs eszköznek kell tekinteni különösen az elektronikus levélben vagy telefonon vagy SMS-ben közzétett tájékoztatást.

(13) A személyes adatok megsértéséről szóló értesítést világosan és közérthetően kell megfogalmazni. Az értesítés kizárólag a személyes adatok megsértésével kapcsolatos információkat tartalmazhat és más tárgyú tájékoztatással nem kapcsolható össze, nem használható fel új vagy kiegészítő szolgáltatások népszerűsítésére vagy reklámozására.

(14)[20] Ha a szolgáltató nem tudja azonosítani a (12) bekezdésben említett határidőn belül azokat a felhasználókat, akiket a személyes adatok megsértése várhatóan hátrányosan érint, a szolgáltató ezeket a személyeket a megadott határidőn belül internetes honlapján vagy az ügyfélszolgálatán közzétett hirdetményben is értesítheti. A hirdetménynek tartalmaznia kell a (18) bekezdésben meghatározott információkat, szükség esetén tömörített formában. Ezen értesítés megtételétől függetlenül a szolgáltatónak továbbra is minden ésszerű erőfeszítést meg kell tennie az érintett felhasználók azonosítására és a (18) bekezdésben meghatározott információkról való mielőbbi értesítésére.

(15) Amennyiben a szolgáltató az elektronikus hírközlési szolgáltatást részben vagy egészben olyan más vállalkozástól bérelt, vagy bármilyen más formában igénybe vett eszközökkel, vagy szolgáltatásokkal valósítja meg, amely nem áll közvetlen előfizetői szerződéses jogviszonyban az előfizetővel, akkor a személyes adatok megsértése esetén ezen vállalkozás a szolgáltatót köteles haladéktalanul értesíteni.

(16)[21] Ha a személyes adatok megsértése az Európai Unió más tagállamában élő előfizetőket vagy felhasználókat érint, a Hivatal 72 órán belül értesíti a többi érintett nemzeti hatóságot az Európai Bizottság által közzétett kapcsolattartási pontokon keresztül.

(17) A személyes adatok megsértése esetén mérlegelni kell, hogy az várhatóan hátrányosan érinti-e az előfizető vagy felhasználó személyes adatainak vagy magánéletének védelmét. A mérlegelés során figyelembe kell venni különösen:[22]

a) az érintett személyes adatok jellegét és tartalmát, különösen akkor, ha azok pénzügyi információkat, az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 3. § 3. pontja szerinti különleges adatokat, helymeghatározási adatokat, internetes naplófájlokat, internetes böngészési előzményeket, elektronikus levelezési adatokat és tételes híváslistákat érintenek;

b)[23] a személyes adatok megsértésének várható következményeit az érintett előfizetőre vagy felhasználóra nézve, különösen akkor, ha a személyes adatok megsértése személyes adattal visszaéléshez, testi épség sérelméhez, becsületsértéshez, rágalmazáshoz vagy a jóhírnév sérelméhez vezethet; valamint

c)[24] a személyes adatok megsértésének körülményeit, különösen akkor, ha a Büntető Törvénykönyvről szóló 2012. évi C. törvényben szabályozott tiltott adatszerzés, információs rendszer vagy adat megsértése, az információs rendszer védelmét biztosító technikai intézkedés kijátszása vagy a személyes adattal visszaélés bűncselekmények gyanúja merül fel, vagy a szolgáltató tudomással bír arról, hogy az adatokat az adatkezelésre nem jogosult személyek jogellenesen kezelik.

(18) A (12) bekezdésben foglalt értesítésnek tartalmaznia kell:

a) a szolgáltató nevét;

b) a belső adatvédelmi felelős vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségét;

c) a személyes adatok megsértését okozó esemény összefoglalását;

d) a személyes adatok megsértésének becsült időpontját;

e) az érintett személyes adatok jellegét és tartalmát, a (17) bekezdésre is figyelemmel;

f)[25] a lehetséges következményeket és kedvezőtlen hatásokat az előfizetőkre vagy felhasználókra nézve, a (17) bekezdésre is figyelemmel;

g) a személyes adatok megsértésének körülményeit, a (17) bekezdésre is figyelemmel;

h) a személyes adatok megsértésének kezelésére a szolgáltató által alkalmazott intézkedéseket;

i) a lehetséges kedvezőtlen hatások enyhítésére a szolgáltató által javasolt intézkedéseket;

j)[26] amennyiben az előfizető vagy felhasználó értesítésekor a szolgáltató a személyes adatok megsértését a Hivatalnak már bejelentette, úgy az annak megtörténtéről szóló tájékoztatást is.

(19)[27] Ha a (12) bekezdésben foglalt értesítés veszélyeztetheti a személyes adat megsértésének megfelelő kivizsgálását, a szolgáltató - a Hivatal előzetes engedélyével - olyan időpontra halaszthatja az előfizető vagy felhasználó értesítését, amelyet a Hivatal már alkalmasnak tart az értesítés megtételére.

(20) A szolgáltató által a személyes adatok megsértésének eseteiről vezetett nyilvántartásnak az Eht. 156. § (4) bekezdésében foglaltak alapján tartalmaznia kell a személyes adatok megsértésének lényeges körülményeit, különösen:

a) az esemény bekövetkeztének időpontját, szükség esetén becslés alapján, továbbá az esemény észlelésének időpontját;

b) az esemény összefoglalását, megjelölve a személyes adatok megsértésének módját és körülményeit, továbbá az adatok megsértésének fizikai helyét és az érintett adathordozót is;

c)[28] az érintett előfizetők vagy felhasználók számát;

d) az érintett személyes adatok jellegét és tartalmát;

e)[29] a lehetséges következmények és kedvezőtlen hatások ismertetését az előfizetőkre vagy felhasználókra nézve;

f) a szolgáltató által a személyes adatok megsértésének lehetséges kedvezőtlen hatásai enyhítésére alkalmazott, vagy alkalmazni tervezett műszaki és szervezeti intézkedéseket.

(21)[30] A (20) bekezdésben foglalt nyilvántartásnak tartalmaznia kell továbbá a Hivatalnak történő bejelentés, valamint az előfizetők vagy felhasználók értesítésének időpontjára és módjára vonatkozó információkat is.

5/A. §[31] (1) Az Eht. 156. § (5) bekezdése vonatkozásában az adatok akkor tekinthetőek értelmezhetetlennek, ha

a) szabványos kriptográfiai algoritmussal biztonságosan titkosítva vannak, az adatok dekódolásához használt kriptográfiai kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok dekódolásához használt kriptográfiai kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel az ne legyen kideríthető a kriptográfiai kulcshoz hozzáférni nem jogosult számára; vagy

b) kriptográfiai kulcsos szabványos lenyomatképző, úgynevezett hash függvénnyel kiszámolt lenyomattal helyettesítésre kerültek, az adatok lenyomatképzéséhez használt kriptográfiai kulcsot nem veszélyeztette a biztonságnak semmilyen megsértése, és az adatok lenyomatképzéséhez használt kriptográfiai kulcs úgy került generálásra, hogy az elérhető technológiai eszközökkel az ne legyen kideríthető a kriptográfiai kulcshoz hozzáférni nem jogosult számára.

3. A hálózatok és a szolgáltatások biztonsága és integritása

6. §[32] (1) A szolgáltató köteles haladéktalanul bejelenteni magyar vagy angol nyelven az Országos Informatikai és Hírközlési Főügyelet (a továbbiakban: OIHF) részére a Hivatal által biztosított elektronikus űrlapon minden olyan biztonsági eseményt, amely jelentős hatással volt a hálózatok, illetve a szolgáltatások működésére (a továbbiakban: biztonsági esemény).

(2) Az OIHF a Hivatal útján szükség szerint tájékoztatja az (1) bekezdés szerinti bejelentésben foglalt eseményről a többi tagállam nemzeti szabályozó hatóságait és az Európai Uniós Kiberbiztonsági Ügynökséget (a továbbiakban: ENISA).

(3) A Hivatal a biztonsági eseményről a honlapján tájékoztathatja a nyilvánosságot, illetve a szolgáltatónak határozatával tájékoztatási kötelezettséget írhat elő, amennyiben mérlegelése szerint a biztonsági esemény nyilvánosságra hozatalának hiánya a közérdeket sértené vagy veszélyeztetné.

(4) A (3) bekezdésben foglalt szolgáltatói tájékoztatásnak tartalmaznia kell:

a) a biztonsági esemény időpontját;

b) az érintett előfizetők, illetve felhasználók számát;

c) azokat az elérhetőségeket, ahol az előfizetők és a felhasználók a biztonsági eseménnyel kapcsolatban további felvilágosítást kérhetnek;

d) a biztonsági esemény várható következményeit;

e) a biztonsági esemény hátrányos következményeinek enyhítése érdekében tervezett intézkedéseket és

f) ha a Hivatalnak történő bejelentés időpontjában a nyilvánosság tájékoztatása már megtörtént, annak időpontját és módját.

(5) A Hivatal az OIHF-hez beérkező bejelentésekről és a megtett intézkedésekről évente összefoglaló jelentést nyújt be az Európai Bizottságnak és az ENISA-nak.

(6) A Hivatal az Eht. 47. §-a alapján felhívhatja - teljesítés hiányában pedig határozatával kötelezheti - a szolgáltatót a szolgáltatásai és a hálózatai biztonsági, illetve integritási szintjének megállapításához szükséges adatok szolgáltatására, ideértve írásos biztonsági stratégiájuk átadását is.

(7) A Hivatal hatósági határozatban kötelezheti a szolgáltatót arra, hogy a határozatban megjelölt független, minősített szervezet által végzett hálózatbiztonsági ellenőrzésen vegyen részt. Az ellenőrzés költségei a kötelezett szolgáltatót terhelik.

(8) A Hivatal az e §-ban alkalmazott eljárása során figyelembe veszi az ENISA hálózatbiztonságra vonatkozó műszaki iránymutatásait.

(9) A biztonsági esemény hatása jelentőségének meghatározásához elsősorban az alábbi szempontokat kell figyelembe venni rendelkezésre állásuk esetén:

a) a biztonsági esemény által érintett felhasználók száma;

b) a biztonsági esemény időtartama;

c) a biztonsági esemény által érintett terület földrajzi kiterjedése;

d) a hálózatra vagy a szolgáltatás működésére gyakorolt hatás mértéke és

e) a gazdasági és társadalmi tevékenységekre gyakorolt hatás mértéke.

(10) A biztonsági esemény konkrét és jelentős szintű kockázata esetén a szolgáltatónak haladéktalanul értesítenie kell az előfizetőket és indokolt esetben a felhasználókat az ilyen kockázatról, és - ha a kockázat a szolgáltató által teendő intézkedések alkalmazási körén kívül esik - a lehetséges jogorvoslatokról, beleértve a valószínűleg felmerülő költségek megjelölését.

4. A forgalmi és számlázási adatok kezelése

7. § (1) A szolgáltató által az Eht. 142. § (1) bekezdése alapján biztosított számlamelléklet nem tartalmazhat a hívott fél egyértelmű azonosítására alkalmas adatot.

(2)[33] Az Eht. 142. § (2) bekezdésben foglaltak szerinti hívásrészletező a (3) és (4a) bekezdésben foglalt kivételekkel nem tartalmazhat a hívott fél egyértelmű azonosítására alkalmas adatot.

(3) Ha az előfizető a szolgáltatótól az Eht. 142. § (2) bekezdése alapján hívásrészletező rendelkezésre bocsátását kéri, ennek teljesítése előtt a szolgáltató köteles az előfizető figyelmét felhívni arra, hogy a hívásrészletezővel együtt az elektronikus hírközlési szolgáltatást igénybe vevő, az előfizetőn kívüli természetes személy felhasználók személyes adatainak birtokába juthat, és ezeknek a megismerésére az előfizető csak akkor jogosult, ha ahhoz a felhasználók hozzájárultak. A szolgáltató köteles az előfizetőt arról is tájékoztatni, hogy a hozzájárulás hiányában a díjszámításhoz szükséges forgalmi és számlázási adatokat a hívásrészletező nem fogja teljes körűen tartalmazni azokban az esetekben, ahol a díj számításához a hívott szám egyértelmű azonosítása szükséges.

(4) A szolgáltató a hozzájárulás meglétét vagy annak tartalmát nem köteles vizsgálni, a hozzájárulásért kizárólag az előfizető tartozik felelősséggel.

(4a)[34] A (3) és (4) bekezdés szerint kell eljárni akkor is, ha az előfizető a hívásrészletezőben az Eht. 142. § (2a) bekezdése szerinti adatok feltüntetését kéri.

(5) A (3) bekezdésben meghatározott tájékoztatást tartalmaznia kell az általános szerződési feltételeknek, vagy ha annak készítésére a szolgáltató nem köteles, az egyedi előfizetői szerződésnek.

8. § (1) A szolgáltató az Eht. 142. § (2) bekezdés szerinti kimutatásban az előfizető kérésére sem adhatja meg a Nemzeti Média- és Hírközlési Hatóság (a továbbiakban: Hatóság) által az előfizetői kérés kézhezvételét megelőzően legalább öt nappal "nem azonosítható hívószámként" közzétett azon szervezetek hívószámait, amely hívószámokon[35]

a) többnyire névtelen hívók részére olyan szolgáltatást nyújtanak, amelyből a hívó félre vonatkozó különleges adatra lehet következtetni, így különösen az egyházi, lelki vagy a kóros szenvedélyekkel kapcsolatos segélyvonalak hívására;

b) többnyire névtelen hívók részére bűncselekmény bejelentését teszik lehetővé (névtelen tanúvonalak);

c) a segélykérő szolgálatokat értesítik.

(2) A Hatóság a nem azonosítható hívószámokról elektronikus nyilvántartást (a továbbiakban: nem azonosítható hívószám nyilvántartás) vezet.

(3) A hívószámnak a nem azonosítható hívószám nyilvántartásba való felvétele iránti kérelmet a Hatóságnál kell előterjeszteni. A Hatóság a kérelmező által megjelölt hívószámnak a nem azonosítható hívószám nyilvántartásba vételére irányuló kérelemről tizenöt napon belül dönt.

(4) A Hatóságnak biztosítania kell, hogy az elektronikus hírközlési szolgáltatók folyamatosan és elektronikus úton, külön díj fizetése nélkül hozzáférhessenek a nem azonosítható hívószám nyilvántartásban foglalt hívószámok listájához.

5. Az azonosítókijelzés és a hívásátirányítás szabályai

9. §[36] (1) A számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltatónak ingyenesen biztosítania kell az előfizető írásbeli kérelme alapján

a) a hívó felhasználónak, hogy hívásonként letilthassa az azonosítója kijelzését a hívott készüléken;

b) a hívó előfizetőnek, hogy előfizetői hozzáférési pontonként letilthassa az azonosítója kijelzését a hívott készüléken;

c) a hívó felhasználónak, hogy hívásonként - a b) pontban meghatározott letiltás ellenére - lehetővé tegye azonosítója kijelzését a hívott készüléken;

d) a hívott előfizetőnek, hogy készülékén a hívó azonosítója ne jelenjék meg;

e) a hívott előfizetőnek, hogy megtagadja azon hívások fogadását, amelyek esetében a hívó az azonosítója kijelzését letiltotta.

(2) Az (1) bekezdés a) és b) pontjában meghatározott letiltás nem alkalmazható az Eht. 145. § (2) bekezdésében foglalt eseten túl a jogszabály szerinti - az állam működése, a lakosság ellátása szempontjából kiemelten fontos - létesítmények hívószámaira irányuló hívásokra sem.

(3) A számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltató ingyenesen köteles hívott előfizetője számára biztosítani, hogy annak kérésére az előfizető hívószámára irányuló hívások esetén a hívott vonal azonosítója ne jelenjen meg a hívó fél készülékén (kapcsolt vonal azonosító kijelzésének letiltása).

(4) A számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltató által az e § szerinti, előfizetők és felhasználók számára biztosítandó lehetőségekről köteles ügyfélszolgálatán és internetes honlapja mellett az egyéb szokásos módokon is tájékoztatást adni.

10. § (1) A számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltatónak ingyenesen biztosítania kell az előfizető számára, hogy amennyiben a készülékére érkező hívásokat kérésére a számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltató automatikusan egy másik hívószámú készülékre irányítja át, abban az esetben rendelkezhessen, hogy a hívó készüléken ne jelenjék meg olyan adat, amely[37]

a) arra a hívószámra utalna, amelyre az átirányítás történt, vagy

b) annak az előfizetőnek a személyére utalna, akihez az átirányítás történt.

(2)[38] A számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltató ingyenesen köteles biztosítani azt, hogy az olyan előfizető, akinek a hívószámára egy másik előfizető automatikus átirányítással átirányíttatta a saját hívószámára érkező hívásokat a számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltató felügyelete alá tartozó berendezéssel, letiltathassa ezt az átirányítást.

11. §[39] A számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltató köteles lehetővé tenni, hogy az előfizető és a felhasználó a 9. § és 10. § (1) bekezdésében foglaltakat egyszerű módon végrehajthassa, így különösen az egyes letiltásokat a készülék használatával elvégezhesse, ha a készülék erre műszakilag alkalmas.

12. §[40] A 9. § és a 10. § (1) bekezdése alkalmazásában az azonosító kijelzésének tekintendő az is, ha az azonosító a számfüggő személyközi hírközlési szolgáltatást nyújtó szolgáltató felügyelete alá tartozó berendezés gépi hangbemondása által jut a felhasználó tudomására.

13. §[41] A 9-12. § előírásait minden olyan számfüggő személyközi hírközlési szolgáltatás esetében alkalmazni kell, amelynél a szolgáltató lehetővé teszi a felhasználók vagy az előfizetők számára a hívó azonosítójának, illetve a hívott azonosítójának a kijelzését.

14. §[42] Az Eht. 156. § (13) bekezdése szerinti forgalmi adatokon kívüli helymeghatározó adatok feldolgozását csak olyan személy végezheti, aki a nyilvános elektronikus hírközlő hálózatok vagy nyilvánosan elérhető elektronikus hírközlési szolgáltatások szolgáltatójának irányítása alatt, vagy az értéknövelt szolgáltatást nyújtó harmadik személy irányítása alatt jár el; ezt az adatfeldolgozást az értéknövelt szolgáltatás nyújtásához szükséges mértékre kell korlátozni.

15. § (1)[43]

(2)[44] Az Eht. 162. § (1) bekezdése szerinti, már meglévő előfizetői hozzájárulás esetén a szolgáltató az előfizető hozzájárulását megadottnak tekintheti, de kizárólag saját hasonló termékek vagy szolgáltatások tekintetében, és csak akkor, ha az előfizető elektronikus elérhetőségi adatait a szolgáltató a jogszabályokban foglaltaknak megfelelően szerezte meg.

(3) A szolgáltatónak biztosítani kell az előfizető számára, hogy az előzetesen adott hozzájárulását bármikor költségmentesen és egyéb más hátrány nélkül visszavonhassa.

16. §[45]

6. Záró rendelkezések

17. § (1) Ez a rendelet - a (2) bekezdésben meghatározott kivétellel - 2012. február 1-jén lép hatályba.

(2) A 6. § 2012. július 1-jén lép hatályba.

(3)[46] Ez a rendelet

a) az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló, 2002. július 12-i 2002/58/EK európai parlamenti és tanácsi irányelvnek (Elektronikus hírközlési adatvédelmi irányelv),

b) az egyetemes szolgáltatásról, valamint az elektronikus hírközlő hálózatokhoz és elektronikus hírközlési szolgáltatásokhoz kapcsolódó felhasználói jogokról szóló 2002/22/EK irányelv, az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló 2002/58/EK irányelv és a fogyasztóvédelmi jogszabályok alkalmazásáért felelős nemzeti hatóságok közötti együttműködésről szóló 2006/2004/EK rendelet módosításáról szóló, 2009. november 25-i 2009/136/EK európai parlamenti és tanácsi irányelvnek,

c) az elektronikus hírközlő hálózatok és elektronikus hírközlési szolgáltatások közös keretszabályozásáról szóló 2002/21/EK irányelv, az elektronikus hírközlő hálózatokhoz és kapcsolódó eszközökhöz való hozzáférésről, valamint azok összekapcsolásáról szóló 2002/19/EK irányelv és az elektronikus hírközlő hálózatok és az elektronikus hírközlési szolgáltatások engedélyezéséről szóló 2002/20/EK irányelv módosításáról szóló, 2009. november 25-i 2009/140/EK európai parlamenti és tanácsi irányelvnek,

d) az Európai Elektronikus Hírközlési Kódex létrehozásáról szóló, 2018. december 11-i (EU) 2018/1972 európai parlamenti és tanácsi irányelv 40. cikkének

való megfelelést szolgálja.

(4)[47] Ez a rendelet a 2002/58/EK európai parlamenti és tanácsi irányelv (elektronikus hírközlési adatvédelmi irányelv) szerinti személyes adatok megsértésére vonatkozó bejelentésre alkalmazandó intézkedésekről szóló, 2013. június 24-i 611/2013/EU bizottsági rendelet végrehajtásához szükséges rendelkezéseket állapít meg.

Szalai Annamária s. k.,

a Nemzeti Média- és Hírközlési Hatóság elnöke