77/2012. (X. 27.) HM utasítása a Magyar Honvédség adatvédelmének szakirányításáról és felügyeletéről, valamint a Magyar Honvédség Adatvédelmi, Adatbiz

77/2012. (X. 27.) HM utasítása a Magyar Honvédség adatvédelmének szakirányításáról és felügyeletéről, valamint a Magyar Honvédség Adatvédelmi, Adatbiztonsági és Közérdekű adatok kezelésére vonatkozó Szabályzatának kiadásáról. Az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény, a közpénzekből nyújtott támogatások átláthatóságáról szóló 2007. évi CLXXXI. törvény, az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 24. § (3) bekezdése, a közérdekű adatok elektronikus közzétételére, az egységes közadatkereső rendszerre, valamint a központi jegyzék adattartalmára, az adatintegrációra vonatkozó részletes szabályokról szóló 305/2005. (XII. 25.) Korm. rendelet 3. §-a, a közpénzekből nyújtott támogatások átláthatóságáról szóló 2007. évi CLXXXI. törvény végrehajtásáról szóló 67/2008. (III. 29.) Korm. rendelet, a közzétételi listákon szereplő adatok közzétételéhez szükséges közzétételi mintákról szóló 18/2005. (XII. 27.) IHM rendelet figyelembevételével, a honvédelemről és a Magyar Honvédségről, valamint a különleges jogrendben bevezethető intézkedésekről szóló 2011. évi CXIII. törvény egyes rendelkezéseinek végrehajtásáról szóló 290/2011. (XII. 22.) Korm. rendelet 2. § (2) bekezdés g) pontja alapján az alábbi utasítást adom ki. 1. Általános rendelkezések 1. § (1) Az utasítás hatálya kiterjed a Honvédelmi Minisztériumra (a továbbiakban: HM), a honvédelmi miniszter közvetlen alárendeltségébe tartozó szervezetekre, a Magyar Honvédség (a továbbiakban: MH) hadrendje szerinti szervezetekre (a továbbiakban együtt: honvédelmi szervezetek), továbbá a honvédelmi szervezetek személyi állományára. (2) Nemzetközi szerződés eltérő rendelkezése hiányában az utasítást alkalmazni kell a külföldön szolgálatot teljesítő honvédelmi szervezetek adatkezelésekkel kapcsolatos eljárására is. (3) Az utasítás hatálya nem terjed ki a minősített adatokra és a közhitelű nyilvántartásból történő adatszolgáltatásra, valamint különleges jogrend ideje alatt folytatott adatkezelésekre. 2. § (1) A Magyar Honvédség Adatvédelmi, Adatbiztonsági és Közérdekű adatok kezelésére vonatkozó Szabályzatát (a továbbiakban: Szabályzat) az 1. mellékletben foglaltak szerint határozom meg. (2) A HM Hatósági Hivatal Adatvédelmi Felügyeleti Osztály (a továbbiakban: AFO) a Szabályzatot szükség szerint, de legalább évente felülvizsgálja. 3. § Az utasítást a kapcsolódó jogszabályokkal és közjogi szervezetszabályozó eszközökkel együtt kell alkalmazni. Az utasítás alkalmazásában az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 3. §-ában meghatározott fogalmak az irányadók. 2. Az adatvédelem felsőszintű irányítása 4. § (1) A honvédelmi szervezetek adatkezelésével, adattovábbításával és adatfeldolgozásával kapcsolatos tevékenységének szakirányítását és felügyeletét a közigazgatási államtitkár a jogi és igazgatási ügyekért felelős helyettes államtitkár (a továbbiakban: JIHÁT) útján gyakorolja. (2) Az (1) bekezdés szerinti jogkörgyakorlás szakmai előkészítése és végrehajtása érdekében az AFO az 5. §-ban meghatározott szakmai irányítási és felügyeleti jogkörrel rendelkezik. (3) Az AFO osztályvezetője a HM belső adatvédelmi felelőseként ellátja az Infotv. 24. §-ában meghatározott feladatokat. 5. § (1) Az AFO az 5. § (2) bekezdésében meghatározott szakmai irányítási jogkörében a) összeállítja és november 30-ig jóváhagyásra felterjeszti a JIHÁT részére az éves adatvédelmi ellenőrzési tervet, b) összeállítja és a tárgyévet követő január 31-ig felterjeszti a JIHÁT útján a közigazgatási államtitkár részére az éves adatvédelmi összefoglaló jelentést, c) közreműködik az adatvédelemmel kapcsolatos vezetői döntések meghozatalában, valamint az érintett jogainak biztosításában, d) állást foglal a honvédelmi szervezetek által részére megküldött, az adatvédelemmel kapcsolatos megkeresésekről, e) jóváhagyja az adatkezelési hozzájárulást tartalmazó és az adatfeldolgozási szerződéseket, f) összesíti a honvédelmi szervezetek adatvédelmi és adattovábbítási nyilvántartását. (2) Az AFO az 5. § (2) bekezdésében meghatározott szakmai felügyeleti jogkörében az utasításban foglaltak szerint adatvédelmi ellenőrzéseket és adatvédelmi vizsgálatokat folytat. 6. § Az AFO feladatainak végrehajtása érdekében folyamatosan kapcsolatot tart a Nemzeti Adatvédelmi és Információszabadság Hatósággal (a továbbiakban: NAIH), a központi államigazgatási szervek belső adatvédelmi felelőseivel, valamint a Szabályzatban meghatározott belső és helyi adatvédelmi felelősökkel. 3. Adatvédelmi ellenőrzés 7. § (1) Az adatvédelmi ellenőrzés célja a (2) bekezdésben meghatározott szempontrendszer figyelembevételével annak megállapítása, hogy az ellenőrzött honvédelmi szervezet adatkezelése megfelel-e a jogszabályoknak és egyéb szabályozók előírásainak. (2) Az adatvédelmi ellenőrzés főbb szempontjai a) az adatkezelés személyi feltételeinek megléte, az adatkezelést végző személyek felkészültsége, leterheltsége, b) az adatkezelés tárgyi feltételei rendelkezésre állása, c) az adatkezelési feladatok technikai lebonyolítása ügyfélforgalom mellett vagy anélkül, d) az elektronikus és papíralapú adathordozók tárolása, biztonsága, e) az adatkezelés módja, f) a honvédelmi szervezetekhez érkezett adatvédelmi megkeresésekre adott válaszok jogszerűsége, g) egyéb, adatvédelmet érintő rendszerek, különösen a beléptető, a zárt láncú kamera, valamint az elektronikus nyilvántartási rendszerek üzemeltetésének jogszerűsége. (3) Az adatvédelmi ellenőrzést az éves adatvédelmi ellenőrzési terv szerint kell végrehajtani. (4) Adatvédelmi ellenőrzést rendelhet el eseti jelleggel a honvédelemért felelős miniszter, a 4. § (1) bekezdés szerinti jogkörében eljárva a közigazgatási államtitkár vagy a JIHÁT. Az eseti adatvédelmi ellenőrzést írásban kell elrendelni, amelyben meg kell határozni különösen a) az ellenőrzés alá vont honvédelmi szervezetet, b) a 8. § (2) bekezdése szerint azt, aki az adatvédelmi el lenőrzés lefolytatására kötelezett, c) az (5)–(6) bekezdésre figyelemmel az adatvédelmi el lenőrzésre nyitva álló időtartamot, d) a (7) bekezdésre figyelemmel az adatvédelmi ellenőrzés tárgyát. (5) Az adatvédelmi ellenőrzést az elrendeléstől számított 60 napon belül be kell fejezni. E határidőbe nem számít bele az az időtartam, amely alatt az ellenőrzés alá vont honvédelmi szervezet az adatvédelmi ellenőrzést végző felhívására a 9. § (1) bekezdés c) pontja szerinti írásbeli felvilágosítást készíti, feltéve, hogy enélkül az ellenőrzés nem folytatható. Az adatvédelmi ellenőrzést végző javaslatára az adatvédelmi ellenőrzés időtartamát, annak lejárta előtt, a) az éves adatvédelmi ellenőrzési terv szerinti adatvédelmi ellenőrzés esetén a JIHÁT, b) eseti adatvédelmi ellenőrzés esetén az azt elrendelő állami vezető egy alkalommal, legfeljebb 30 nappal meghosszabbíthatja. (6) Az (5) bekezdésben meghatározottaktól a honvédelemért felelős miniszter az általa elrendelt eseti adatvédelmi ellenőrzés esetén eltérhet. (7) Az adatvédelmi ellenőrzés – eltérő rendelkezés hiányában – kiterjed az ellenőrzés alá vont honvédelmi szervezet minden adatkezelésére. (8) Az adatvédelmi ellenőrzés megkezdését az ellenőrzés alá vont honvédelmi szervezetnek előzetesen nem kell bejelenteni. 8. § (1) Az éves adatvédelmi ellenőrzési terv szerinti adatvédelmi ellenőrzést az AFO végzi. (2) Eseti adatvédelmi ellenőrzést végezhet az adatvédelmi ellenőrzést elrendelő döntése alapján a) a honvédelemért felelős miniszter által írásban kijelölt személy, b) az AFO, c) az adatkezelő honvédelmi szervezet belső vagy helyi adatvédelmi felelőse, ezek hiányában az adatkezelő honvédelmi szervezet állományába tartozó, írásban kijelölt más személy, az adatkezelő honvédelmi szervezetre kiterjedően (a továbbiakban együtt: adatvédelmi ellenőrzést végző). (3) Az (1) bekezdés szerinti esetben, illetve amennyiben az adatvédelmi ellenőrzést a (2) bekezdés alapján az AFO folytatja le, az AFO állományából a konkrét adatvédelmi ellenőrzés elvégzésére kötelezett személyt az AFO vezetője jelöli ki. Az AFO állományába tartozó, adatvédelmi ellenőrzést végző személy jogosultságát az ellenőrzés megkezdésekor az MH Hadkiegészítő és Központi Nyilvántartó Parancsnokság által kiállított igazolvány felmutatásával igazolja. A (2) bekezdés a) és c) pontja szerint adatvédelmi ellenőrzést végző e jogkörének igazolása érdekében írásbeli kijelölését kell felmutatnia. (4) Az AFO állományába tartozó, adatvédelmi ellenőrzést végző személy a HM Hatósági Hivatal (a továbbiak ban: HM HH) adatvédelmi ellenőrzése tekintetében a HM HH igazgatója által nem utasítható. E rendelkezést megfelelően alkalmazni kell a (2) bekezdés a) és c) pontja szerint adatvédelmi ellenőrzést végző szolgálati elöljárójára és hivatali felettesére is. 9. § (1) Az adatvédelmi ellenőrzést végző a szükséges személyi biztonsági feltételek megléte esetén a) az ellenőrzés alá vont honvédelmi szervezet kezelésében levő, a vizsgált üggyel összefüggésbe hozható összes iratba betekinthet, azokról másolatot kérhet, b) az ellenőrzés során az üggyel összefüggésbe hozható adatkezelést megismerheti, az adatkezelés helyszínéül szolgáló helyiségbe beléphet és c) az ellenőrzés alá vont honvédelmi szervezet vezetőjétől, az adatkezelő bármely munkatársától írásbeli és szóbeli felvilágosítást kérhet, továbbá a vizsgált üggyel összefüggésbe hozható bármely honvédelmi szervezettől vagy személytől írásbeli felvilágosítást kérhet. (2) Az adatvédelmi ellenőrzést úgy kell lefolytatni, hogy az az ellenőrzés alá vont honvédelmi szervezet feladatainak ellátását csak a szükséges mértékben korlátozza. (3) Amennyiben az adatvédelmi ellenőrzés során az adatvédelmi ellenőrzést végző olyan szabálytalanságot észlel, amely a helyszínen orvosolható, javaslatot tesz annak rendezésére. (4) Az ellenőrzés alá vont honvédelmi szervezet vezetője a) az adatvédelmi ellenőrzés lefolytatását elősegíti, így különösen az adatvédelmi ellenőrzést végző megkereséseit határidőn belül teljesítenie kell azzal, hogy a határidő az (1) bekezdés c) pontja szerinti esetben tizenöt napnál nem lehet rövidebb, b) tartózkodik minden olyan magatartástól és döntéstől, amely az adatvédelmi ellenőrzés indokolatlan elhúzódásával jár, vagy arra vezethet, c) az adatvédelmi ellenőrzéssel kapcsolatban észrevételt, javaslatot tehet. 10. § (1) Az adatvédelmi ellenőrzést végző az adatvédelmi ellenőrzésről annak befejezését követő 20 napon belül jelentést készít, amely tartalmazza az adatvédelmi ellenőrzés (2) bekezdés szerinti megállapításait, ennek függvényében indokolt javaslatot a jogszerű állapot helyreállításához szükséges intézkedés megtételére, adatvédelmi vizsgálat lefolytatására, illetve felelősségre vonásra irányuló más eljárás megindítására. (2) Az adatvédelmi ellenőrzést végző a jelentésben az adatvédelmi ellenőrzés során feltárt tényállás alapján megállapíthatja, hogy a) az adatkezelés megfelel a jogszabályoknak és egyéb szabályozóknak, és ezért további intézkedés nem indokolt, b) a 9. § (3) bekezdése szerinti szabálytalanságot az ellenőrzés alá vont honvédelmi szervezet a helyszínen orvosolta, és ezért további intézkedés nem indokolt, vagy c) az adatkezelés nem felel meg a jogszabályoknak és egyéb szabályozóknak, a b) pont nem vagy csak részben alkalmazható, ezért a jogszerű állapot helyreállítása érdekében további intézkedés megtétele szükséges. (3) Az adatvédelmi ellenőrzést végző a (2) bekezdés c) pontja esetén a jelentés tervezetét véleményezésre megküldi az ellenőrzés alá vont honvédelmi szervezet vezetőjének, aki írásbeli álláspontját elektronikus úton 10 napon belül köteles megküldeni. Az adatvédelmi ellenőrzést végző az ellenőrzés alá vont honvédelmi szervezet vezetőjének álláspontja alapján a jelentés tervezetét felülvizsgálja, és egyetértése esetén pontosítja azt. (4) Az adatvédelmi ellenőrzést végző a jelentést és az annak alátámasztására szolgáló ügyiratokat jóváhagyásra felterjeszti a JIHÁT részére. Amennyiben az adatvédelmi ellenőrzést nem a JIHÁT rendelte el, a JIHÁT a jelentést az ügyiratokkal, az azzal kapcsolatos álláspontjával, javaslataival együtt továbbterjeszti az adatvédelmi ellenőrzés elrendelőjéhez. (5) A jóváhagyott jelentés alapján az adatvédelmi ellenőrzést végző tájékoztatja az ellenőrzés alá vont honvédelmi szervezet vezetőjét az adatvédelmi ellenőrzés lezárásáról, és a (2) bekezdés függvényében a) felhívja a jogszerű állapot helyreállításához szükséges intézkedés soron kívüli megtételére, b) tájékoztatja az adatvédelmi vizsgálat elrendeléséről, illetve c) felelősségre vonásra irányuló más eljárás megindításáról. 4. Adatvédelmi vizsgálat 11. § (1) Adatvédelmi vizsgálat folytatható le a 12. § szerinti bejelentés alapján vagy az adatvédelmi ellenőrzést követően, a 10. § (4) bekezdése szerint jóváhagyott jelentésnek megfelelően, ha a személyes adatok kezelésére vonatkozó szabályok, a közérdekű adatok vagy a közérdekből nyilvános adatok megismeréséhez fűződő jogok gyakorlása megsértésének gyanúja merül fel. (2) Az adatvédelmi vizsgálat elrendelésére a JIHÁT jogosult. Az adatvédelmi vizsgálatot az AFO az elrendelésétől számított 30 napon belül köteles befejezni. A határidőt indokolt esetben a HM HH igazgatója egy alkalommal, legfeljebb 30 nappal meghosszabbíthatja. 12. § (1) Az adatvédelmi vizsgálat alapjául szolgáló bejelentést az AFO-nál kell megtenni. A honvédelmi szervezet vezetője a hozzá benyújtott bejelentést a beérkezését követő 5 napon belül átteszi az AFO-hoz. (2) Az AFO megvizsgálja a bejelentést, és azt a beérkezésétől számított 5 napon belül a) az adatvédelmi vizsgálat elrendelésére vagy elutasítására vonatkozó indokolt javaslatával felterjeszti a JIHÁT részére, vagy b) a (3) bekezdés szerint érdemi vizsgálat nélkül elutasítja. (3) Érdemi vizsgálat nélkül el kell utasítani a bejelentést, amennyiben a) az adatvédelmi vizsgálat lefolytatása nem tartozik az AFO hatáskörébe, b) a bejelentés nyilvánvalóan nem megalapozott, vagy c) az ismételt bejelentés új tényt, körülményt vagy adatot nem tartalmaz. (4) Az AFO az adatvédelmi vizsgálatot a 13. § (2) be kezdés szerinti jelentés készítése nélkül megszünteti, ha annak során kiderül, hogy a (3) bekezdés alapján a bejelentés elutasításának lett volna helye, azonban az elutasítási okról az AFO csak az adatvédelmi vizsgálat megindítását követően szerzett tudomást. (5) A (3) bekezdés a) pontjában foglalt feltétel megállapítása esetén az AFO a bejelentést 5 napon belül átteszi a NAIH-hoz. (6) A JIHÁT az AFO felterjesztése alapján dönt az adatvédelmi vizsgálat elrendeléséről vagy elutasításáról. A JIHÁT döntéséről, a bejelentés érdemi vizsgálat nélküli elutasításáról, a bejelentés NAIH-hoz történő áttételéről az AFO írásban, elektronikus úton 5 napon belül értesíti a bejelentőt. 13. § (1) Az adatvédelmi vizsgálatra az utasítás 8. § (3) és (4) bekezdését, a 9. §-át és a 10. § (3) és (5) bekezdését megfelelően alkalmazni kell. (2) Az AFO az adatvédelmi vizsgálatról annak befejezését követő 10 napon belül jelentést készít. A jelentés tartalmazza az adatvédelmi vizsgálat megállapításait, továbbá jogsérelem vagy annak közvetlen veszélye esetén az AFO indokolt javaslatát annak megszüntetésére, illetve felelősségre vonásra irányuló más eljárás megindítására. 14. § (1) Az AFO a jelentést és annak alátámasztására szolgáló ügyiratokat jóváhagyásra felterjeszti a JIHÁT részére. (2) A JIHÁT – egyetértése esetén – jóváhagyja a jelentést, és hatáskörébe tartozóan feladatot szab, megteszi a szükséges intézkedéseket, illetve kezdeményezi a hatáskörébe nem tartozó intézkedéseket. (3) Amennyiben a JIHÁT adatvédelmi vizsgálat továbbfolytatását tartja szükségesnek, elrendeli a jelentés kiegészítését. A jelentés kiegészítésére és a kiegészített jelentés felterjesztésére a 13–14. § rendelkezéseit azzal az eltéréssel kell alkalmazni, hogy az adatvédelmi vizsgálat határidejéről és meghosszabbításáról a JIHÁT dönt. 15. § (1) Az adatkezelő honvédelmi szervezetnél a NAIH az Infotv. 38. §-a alapján vizsgálatot, hatósági eljárást, titokfelügyeleti hatósági eljárást folytathat, illetve az Infotv. 38. § (3) bekezdés d) pontja szerint bírósághoz fordulhat. (2) Az eljárás alá vont adatkezelő honvédelmi szervezet a vizsgálat során köteles együttműködni a NAIH-hal. 5. Záró rendelkezés 16. § (1) Az utasítás a közzétételét követő 8. napon lép hatályba. (2) A honvédelmi szervezetek az utasítás hatálybalépését megelőzően folytatott adatkezelésükre vonatkozó, a Szabályzat 1. függeléke szerint kitöltött űrlapot 2013. január 31-ig megküldik az AFO részére. (3) Az utasítás hatálybalépésétől számított 120 napon belül a Szabályzat alapján belső adatvédelmi felelős kinevezésére vagy megbízására köteles országos adatállomány kezelését végző honvédelmi szervezetek vezetői helyi Adatvédelmi, Adatbiztonsági és Közérdekű adatok kezelésére vonatkozó Szabályzatot (a továbbiakban: helyi Szabályzat) adnak ki. (4) A helyi Szabályzat meghatározza különösen az adatkezelések jogalapjára, céljára, időtartamára, helyére, az adatok kezelésére, a megismerésére jogosultak személyére, az adattovábbítás szabályaira, az adattárolás módjaira, az adatok törlésének, zárolásának módosításának, valamint az egyedi adatkezelések speciális szabályait. A helyi Szabályzatot kiadás előtt szakmai jóváhagyásra fel kell terjeszteni az AFO részére. 17. § Az Infotv. 15. § (5) bekezdése és 29. § (3) bekezdése alapján a dokumentumokról készült egyes másolatokkal kapcsolatos költségtérítéseket a HM Közgazdasági és Pénzügyi Hivatal állapítja meg, és azt először a Szabályzat hatálybalépését követő 30 napon belül, majd évente január 31-ig közzététel céljából megküldi a HM Sajtóirodának. 18. § Hatályát veszti a) a Közszolgálati Adatvédelmi Szabályzatról szóló 93/2002. (HK 28.) HM utasítás, b) a közpénzek felhasználásával, a köztulajdon használa tának nyilvánosságával, átláthatóbbá tételével és ellenőrzésének bővítésével összefüggő adatszolgáltatás és közzétételi kötelezettség szabályairól szóló 21/2004. (HK 6.) HM utasítás, c) a közpénzekből nyújtott támogatások átláthatóságának Magyar Honvédségre vonatkozó eljárási szabályairól szóló 52/2008. (HK 11.) HM utasítás, d) a közérdekű adatok közzétételéről és az adatigénylések teljesítésének a rendjéről szóló 57/2008. (HK 12.) HM utasítás. Dr. Hende Csaba s. k., honvédelmi miniszter