5/2017. (XII. 28.) SZTNH utasítása az adatvédelmi és adatbiztonsági szabályzatról.

5/2017. (XII. 28.) SZTNH utasítása az adatvédelmi és adatbiztonsági szabályzatról. A Szellemi Tulajdon Nemzeti Hivatalában érvényesítendő adatvédelmi és adatbiztonsági követelmények meghatározása és biztosítása érdekében a jogalkotásról szóló 2010. évi CXXX. törvény 23. § (4) bekezdés c) pontjával összhangban, az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény 24. § (3) bekezdése alapján a Szellemi Tulajdon Nemzeti Hivatala által kezelt személyes adatokkal kapcsolatos követelmények rendjét az alábbiak szerint határozom meg: Az utasítás hatálya 1. § (1) Az utasítás személyi hatálya a Szellemi Tulajdon Nemzeti Hivatala (a továbbiakban: Hivatal) határozatlan vagy határozott időre kinevezett kormánytisztviselőire, határozatlan vagy határozott időre megkötött munkaszerződés alapján foglalkoztatott munkavállalóira (a jelen utasítás tekintetében kormánytisztviselő és munkavállaló a továbbiakban együtt: munkatárs), illetve a Hivatal kezelésében lévő személyes adatok kapcsán a Hivatal által vagy rendelkezése szerint igénybe vett adatfeldolgozókra terjed ki. (2) Az utasítás tárgyi hatálya a (3) bekezdésben foglaltak kivételével kiterjed a Hivatal kezelésében lévő minden személyes adatra. (3) Az utasítás hatálya nem terjed ki a Hivatal közszolgálati adatvédelmi szabályzatának, illetve a minősített adatok védelméről szóló szabályzatának hatálya alá tartozó személyes adatokra. (4) A közérdekű adatok és közérdekből nyilvános adatok megismerése érdekében, illetve közzététele során figyelemmel kell lenni a jelen szabályzatban foglalt rendelkezésekre is. Értelmező rendelkezés 2. § A jelen utasításban és a Hivatal adatkezelési kézikönyvében alkalmazott, az adatkezeléssel és az adatbiztonsággal kapcsolatos fogalmak tartalmát az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 3. §-ának értelmező rendelkezései határozzák meg. Az adatvédelem alapelvei 3. § (1) A Hivatal kizárólag a nyilvános adatkezelési kézikönyvben rögzített célból, a cél elérésére alkalmas és ahhoz elengedhetetlenül szükséges személyes adatokat kezeli a cél megvalósulásához szükséges mértékben és ideig. (2) Az adatkezelés célja a Hivatal feladat- és hatáskörének ellátásához szükséges vagy azt segítő jog gyakorlása vagy kötelezettség teljesítése, törvényben meghatározott adatkezelés esetén az adatkezelést elrendelő törvényben megfogalmazott cél. (3) A Hivatal a személyes adatokat az érintett hozzájárulása vagy törvény erre irányuló felhatalmazása, a különleges adatokat az érintett írásbeli hozzájárulása vagy törvény erre irányuló felhatalmazása alapján kezeli. A személyes adatok kezelésének jogalapja lehet az Infotv. 6. §-ában írt vélelmek egyike is, amennyiben annak feltételei fennállnak. (4) A Hivatal kezelésében lévő személyes adatokat az 1. § (1) bekezdésében írt személyek magáncélra nem használhatják fel. Az adatvédelemmel kapcsolatos feladatok és kötelezettségek 4. § (1) A Hivatal elnöke a) kinevezi az Infotv.-ben meghatározott feltételeknek megfelelő belső adatvédelmi felelőst (a továbbiakban: adatvédelmi felelős), b) meghatározza és biztosítja a személyes adatok kezelésének és védelmének személyi és tárgyi feltételeit, beleértve a technikai feltételeket is, c) irányítja az adatvédelmi felelős munkáját, d) felel a Hivatal adatvédelmi tevékenységéért, az ellenőrzések során esetlegesen feltárt hiányosságok vagy nem megfelelőségek megszüntetéséért, e) szükség esetén személyi felelősség megállapítására irányuló eljárást indít vagy kezdeményez. (2) Az adatvédelmi felelős a Hivatal elnöke által kinevezett szakértő, aki e tevékenysége ellátása során közvetlenül a Hivatal elnöke irányítása alatt áll. Az adatvédelmi felelős a) az adatvédelmi jogszabályok és a kialakult gyakorlat ismertetésével segíti a Hivatal vezetőinek munkáját, b) közreműködik, illetve segítséget nyújt az adatkezeléssel összefüggő döntések meghozatalában, a jogszabályoknak megfelelő adatkezelés végzésében, valamint az érintettek jogainak biztosításában, c) ellenőrzi az Infotv. és az adatkezelésre vonatkozó más jogszabályok, valamint a belső szabályzatok adatvédelmi rendelkezéseinek megtartását, d) kivizsgálja a hozzá érkezett, a Hivatal adatkezelésére, a Hivatal által vagy rendelkezése szerint igénybe vett adatfeldolgozó e tevékenységére vonatkozó bejelentéseket, jogosulatlan adatkezelés észlelése esetén intézkedést kezdeményez annak megszüntetésére, illetve erre felszólítja a Hivatal adatfeldolgozóját, e) elkészíti és rendszeresen aktualizálja a Hivatal adatvédelmi és adatbiztonsági szabályzatát, illetve az adatkezelési kézikönyvet, és gondoskodik azoknak a vezetői jóváhagyást követően a Hivatal honlapján történő közzétételéről, f ) vezeti a belső adatvédelmi nyilvántartást és az adatvédelmi incidensekkel kapcsolatos nyilvántartást, g) gondoskodik az adattovábbítási nyilvántartás vezetéséről, h) gondoskodik az adatvédelmi ismeretek oktatásáról, i) együttműködik a Hivatal információbiztonsági vezetőjével az Infotv. adatbiztonsági követelményeinek megvalósítása során, j) gondoskodik a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH) részére történő bejelentések megtételéről, k) adatvédelmi kérdésekben kapcsolatot tart az érintettekkel és más hatóságok képviselőivel, beleértve a NAIH-t is, l) minden év január 15-éig összeállítja a Hivatal által az előző naptári évben megtagadott, a személyes adatokkal kapcsolatos tájékoztatásokról szóló értesítést, amelyet a Hivatal elnöke elé tár, illetve jóváhagyást követően határidőben eljuttat a NAIH részére, m) évente kétszer, a Hivatalban kialakított rend szerint, illetve szükség esetén beszámol a Hivatal elnökének az adatvédelem helyzetéről, illetve ismerteti az e téren a Hivatal előtt álló feladatokat, n) részt vesz a belső adatvédelmi felelősök konferenciáján, o) ellátja az adatvédelem területén felmerülő mindazon hivatali feladatokat, amelyekkel a Hivatal elnöke megbízza. (3) A Hivatal információbiztonsági vezetője a) a jogszabályok és belső szabályzatok előírásainak megfelelően gondoskodik a Hivatallal szemben támasztott adatbiztonsági követelmények minél magasabb szintű megvalósításáról, b) együttműködik a Hivatal adatvédelmi felelősével a személyes adatok kezelése területén. (4) Mindazok, akik a Hivatal kezelésében lévő személyes adatok vonatkozásában adatkezelési vagy adatfeldolgozói tevékenységet folytatnak, kötelesek a) az adatvédelmi jogszabályokban és Hivatal belső szabályzataiban foglalt követelményeket betartani, b) az adatvédelmi felelős által tartott vagy szervezett oktatáson részt venni, az esetlegesen ahhoz kapcsolódó vizsgát letenni, c) ellátni az e szabályzat rendelkezéseire tekintettel rájuk háruló adatvédelmi feladatokat, d) adatvédelemmel kapcsolatos kérdés esetén a Hivatal adatvédelmi felelőséhez fordulni. Az adatbiztonsággal kapcsolatos feladatok és kötelezettségek 5. § (1) Az Infotv. 7. §-ában írt adatbiztonsági követelmények megvalósításáról a Hivatal az információbiztonsági vezető útján gondoskodik. (2) Az információbiztonsági vezetőre, a Hivatal munkatársaira, illetve más személyekre az adatbiztonság kérdéskörében háruló feladatokra és kötelezettségekre, továbbá az ezekkel kapcsolatos szabályokra és eljárásrendekre a Hivatal információbiztonsággal kapcsolatos szabályzatai és eljárásrendjei az irányadók. Az adatkezelési kézikönyv és a belső adatvédelmi nyilvántartás 6. § (1) A Hivatal elsősorban a honlapján elérhető adatkezelési kézikönyvön mint adatkezelési tájékoztatón keresztül biztosítja az általa kezelt személyes adatokra vonatkozó, az Infotv. 20. §-ában írt előzetes tájékoztatást. (2) A Hivatal adatkezelésével összefüggő, az adatkezelési kézikönyvben szereplő tények vagy adatok, illetve a releváns jogszabályok megváltozása esetén az adatvédelmi felelős gondoskodik az adatkezelési kézikönyvnek – módosítása és vezetői jóváhagyása után – a Hivatal honlapján történő ismételt közzétételéről. (3) Erre irányuló kérelem esetén a Hivatal munkatársai szóban is tájékoztatást adnak az érintett adatainak kezelésére és a jogaira vonatkozó rendelkezésekről. 7. § (1) A Hivatal belső adatvédelmi nyilvántartását az adatkezelési kézikönyv és a Hivatal munkatársai személyes adatainak kezelésére vonatkozó külön elnöki utasítás együttesen testesíti meg. (2) Új személyes adatkör kezelését megelőzően az érintett szervezeti egység vezetője a tevékenység megkezdése előtt legalább 15 – az Infotv. 68. § (3) bekezdése alkalmazása esetén legalább 50 – nappal bejelenti az adatvédelmi felelősnek, aki azt bejegyzi a belső adatvédelmi nyilvántartásba. (3) Amennyiben a tervezett adatkezelést be kell jelenteni a NAIH által vezetett adatvédelmi nyilvántartásba, azt az adatvédelmi felelős a Hivatal elnökének jóváhagyását követően az Infotv. 68. §-ában rögzített módon jelenti be. Az  adatkezelés nyilvántartásba vétele esetén a nyilvántartási számot az adatvédelmi felelős közli a Hivatal munkatársaival az adatok továbbítása, nyilvánosságra hozatala és az érintettnek szóló tájékoztatás megadása esetén történő használata érdekében. (4) A belső adatvédelmi nyilvántartásban szereplő adatok változását, továbbá az adatkezelés megszűnését az érintett szervezeti egység vezetője a módosulást megelőzően legalább 5 nappal köteles az adatvédelmi felelősnek bejelenteni, aki a bejelentésben foglaltaknak megfelelően módosítja a belső adatvédelmi nyilvántartást, illetve szükség esetén kezdeményezi a NAIH által vezetett adatvédelmi nyilvántartás módosítását. Eljárás a Hivatal által kezelt személyes adatokkal kapcsolatos tájékoztatás kérése, helyesbítési, törlési vagy zárolási kérelem, továbbá tiltakozás esetén 8. § Az érintett tájékoztatást kérhet a Hivataltól a személyes adatai kezeléséről, kérheti azok helyesbítését, jogszabályban elrendelt adatkezelés esetét, kivéve azok törlését vagy zárolását, valamint az Infotv.-ben szabályozott esetekben tiltakozhat azok kezelése ellen. 9. § (1) Az adatvédelmi felelős – amennyiben az érintett tájékoztatása nem tagadható meg – az érintett kérelmére a kérelem benyújtásától – költségtérítés fizetése esetén annak megtörténtétől – számított lehető legrövidebb idő alatt, de legfeljebb 25 napon belül, közérthető formában tájékoztatást ad a) az érintettnek a Hivatal által kezelt, illetve a Hivatal által megbízott vagy a rendelkezése szerint igénybe vett adatfeldolgozó által feldolgozott adatairól, b) az adatkezelés céljáról, jogalapjáról és időtartamáról, c) az adatok forrásáról, d) az adatfeldolgozó nevéről, címéről és az adatkezeléssel összefüggő tevékenységéről, e) az esetleges adatvédelmi incidens körülményeiről, hatásáról és az elhárítás érdekében tett intézkedésekről, továbbá f ) az esetleges adattovábbítás jogalapjáról és címzettjéről. (2) A tájékoztatás az azonos adatkörre vonatkozóan az adott naptári évben benyújtott első kérelem esetén ingyenes, egyebekben azért meg kell téríteni a Hivatal által meghatározott, a tájékoztatás teljesítésével kapcsolatos közvetlen költségeket. A Hivatal az Infotv.-ben meghatározott esetekben visszatéríti a már megfizetett költségtérítést. (3) A tájékoztatás megtagadására csak az Infotv. rendelkezéseivel összhangban kerülhet sor. A tájékoztatás megtagadása esetén e tényről, továbbá a bírósági jogorvoslat és a NAIH-hoz fordulás lehetőségéről az adatvédelmi felelős írásban tájékoztatja az érintettet. (4) Amennyiben az (1) bekezdésben írt tájékoztatás kérése a Hivatal hatósági tevékenysége során kezelt adatokhoz kapcsolódik és az a Hivatal által vezetett nyilvántartások alapján könnyen megválaszolható, továbbá költségtérítés fizetése nem kapcsolódik hozzá, a tájékoztatást a Hivatal e tevékenységet végző, képviseleti joggal rendelkező munkatársai is megadhatják. 10. § (1) A valóságnak nem megfelelő adatot a Hivatal – amennyiben a szükséges adatok rendelkezésére állnak – helyesbíti. (2) Amennyiben az érintett által vitatott adat helyessége vagy pontatlansága nem állapítható meg egyértelműen, a Hivatal megjelöli az általa kezelt kérdéses adatot. 11. § (1) A Hivatal törli azt a személyes adatot, a) amelynek kezelése jogellenes, b) amelynek törlését az érintett kéri (a kötelező adatkezelés kivételével), c) amely hiányos vagy téves, amennyiben ez az állapot jogszerűen nem orvosolható, feltéve, hogy a törlést törvény nem zárja ki, d) amely esetében az adatkezelés célja megszűnt, vagy az adatok tárolásának törvényben meghatározott ideje lejárt, amennyiben annak hordozóját nem kell levéltári őrizetbe adni, e) amelynél ezt bíróság vagy a NAIH elrendelte. (2) Törlés helyett a Hivatal zárolja a személyes adatot, ha a) az érintett ezt kéri vagy b) a Hivatal rendelkezésére álló információk alapján feltételezhető, hogy a törlés sértené az érintett jogos érdekeit. (3) A (2) bekezdés szerint zárolt személyes adatokat a Hivatal legfeljebb az adattörlést kizáró adatkezelési cél fennálltának ideje alatt kezeli. (4) Az adattörlés és zárolás kérdésében ki kell kérni a Hivatal adatvédelmi felelősének állásfoglalását. 12. § (1) A helyesbítésről, zárolásról, megjelölésről vagy törlésről – a (2) bekezdésben írt eset kivételével – az adatvédelmi felelős értesíti az érintettet, továbbá az adatvédelmi felelős felhívására az illetékes hivatali munkatárs értesíti mindazokat, akiknek az adatokat – adatkezelés céljára – továbbították. (2) Az értesítés mellőzhető, ha az – az adatkezelés céljára tekintettel – az érintett jogos érdekét nem sérti. 13. § Amennyiben a Hivatal az érintett helyesbítés, zárolás vagy törlés iránti kérelmét nem teljesíti, az adatvédelmi felelős a  kérelem kézhezvételétől számított 25 napon belül írásban – az érintett hozzájárulásával elektronikus úton – tájékoztatja a kérelem elutasításának tényéről és okairól, továbbá a bírósági jogorvoslat és a NAIH-hoz fordulás lehetőségéről. 14. § (1) Az érintett tiltakozhat személyes adatának kezelése ellen, a) ha a személyes adat kezelése kizárólag a Hivatalra vonatkozó jogi kötelezettség teljesítéséhez, a Hivatal, az adatátvevő vagy más harmadik személy jogos érdekének érvényesítéséhez szükséges (kivéve a kötelező adatkezelés esetét), b) ha a személyes adat felhasználása vagy továbbítása közvetlen üzletszerzés, közvéleménykutatás vagy tudományos kutatás céljára történik, c) törvényben meghatározott egyéb esetekben. (2) A Hivatal adatvédelmi felelőse a kérelem benyújtásától számított lehető legrövidebb idő alatt, de legfeljebb 15 napon belül írásban tájékoztatja az érintettet a tiltakozás megalapozottságának tárgyában hozott döntésről, ha a Hivatal a kérelemnek helyt ad, az adatkezelést megszünteti, az adatokat zárolja, továbbá a tiltakozásról és az annak alapján tett intézkedésekről értesíti mindazokat, akiknek az adatot korábban továbbította, és akik kötelesek a tiltakozási jog érvényesítése érdekében intézkedni. (3) Amennyiben az érintett a Hivatal döntésével nem ért egyet, vagy ha a Hivatal a döntés meghozatalára nyitva álló határidőt elmulasztotta, az érintett a közléstől, illetve a határidő utolsó napjától számított 30 napon belül – az Infotv.-ben meghatározott módon – bírósághoz fordulhat. Hatályba léptető és vegyes rendelkezések 15. § (1) Ez az utasítás a közzétételét követő napon lép hatályba. (2) A Hivatal honlapján a jelen utasítás hatálybalépését követően, de legkésőbb 3 hónapon belül kell közzétenni a 6. § szerinti adatkezelési kézikönyvet. (3) Jelen utasítás tartalmi felülvizsgálatáról, aktualizálásáról és karbantartásáról a Hivatal adatvédelmi felelőse köteles gondoskodni. A felülvizsgálatot legalább 3 évente el kell végezni, amelynek eredményeképpen (szükség esetén) kezdeményezni kell az utasítás módosításának vagy új utasításnak a kiadását. Dr. Łuszcz Viktor s. k., a Szellemi Tulajdon Nemzeti Hivatala elnöke