14/2011. (III. 25.) NGM rendelete a Nemzeti Adó- és Vámhivatal bűnmegelőzési, bűnüldözési, valamint szabálysértési tevékenységével összefüggésben kele

14/2011. (III. 25.) NGM rendelete a Nemzeti Adó- és Vámhivatal bűnmegelőzési, bűnüldözési, valamint szabálysértési tevékenységével összefüggésben keletkezett adatok kezelésére jogosult szervei meghatározásáról és az adatok kezelésének technikai szabályairól. A Nemzeti Adó- és Vámhivatalról szóló 2010. évi CXXII. törvény 82. § g) pontjában kapott felhatalmazás alapján, a kormányhivatalokat felügyelő miniszterek kijelöléséről szóló 5/2010. (XII. 23.) ME rendelet 1. § e) pontjában meghatározott feladatkörömben eljárva a következőket rendelem el: 1. Adatkezelésre jogosult szervek 1. § A Nemzeti Adó- és Vámhivatal (a továbbiakban: NAV) külön jogszabályban meghatározott, hatósági jogkörrel rendelkező központi, közép és alsó fokú szerve hatósági jogkörének gyakorlása során, valamint a NAV rendszerfejlesztésért felelős szerve jogosult bűnmegelőzési, bűnüldözési és szabálysértési adatok kezelésére, amelynek érdekében a 2. §-ban meghatározott adatbázisokat működteti. 2. § (1) RobotzsaruNeo rendszer bűnügyi modul (a továbbiakban: Neo) a folyamatban lévő és a lefolytatott büntetőeljárásokkal kapcsolatos, a Nemzeti Adó- és Vámhivatalról szóló 2010. évi CXXII. törvény (a továbbiakban: NAV tv.) 72. § (1) bekezdésének a)–g) pontjában meghatározott adatokat tartalmazza. A Neo rendszert kezelő szervek felsorolását és a hozzáférési jogosultságokat az 1. melléklet tartalmazza. (2) RobotzsaruNeo rendszer pénzügyi információs bejelentéseket kezelő modul (a továbbiakban: NeoPio) a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2007. évi CXXXVI. törvény 23. §-ában foglalt folyamatban lévő és a lefolytatott bejelentések nyilvántartására szolgál. A NeoPio rendszert kezelő szervek felsorolását és a hozzáférési jogosultságokat a 2. melléklet tartalmazza. (3) RobotzsaruNeo rendszer szabálysértési modul a szabálysértési eljárásokkal kapcsolatos, a NAV tv. 66. § (1) bekezdésében meghatározott adatokat tartalmazza. A RobotzsaruNeo rendszer szabálysértési modulját kezelő szervek felsorolását és a hozzáférési jogosultságokat a 3. melléklet tartalmazza. (4) A Határon Átlépő Készpénzforgalom Nyilvántartás a Közösségbe belépő vagy a Közösséget elhagyó 10 000 euró vagy azt meghaladó értékű készpénzt birtokló természetes személy, továbbá a készpénz tulajdonosának, címzettjének a Közösség területére belépő, illetve a Közösség területét elhagyó készpénz ellenőrzéséről szóló 1899/2005/EK parlamenti és tanácsi rendelet 5. Cikke (2) bekezdésében, valamint a Közösség területére belépő, illetve a Közösség területét elhagyó készpénz ellenőrzéséről szóló, 2005. október 26-i 1889/2005/EK európai parlamenti és tanácsi rendelet végrehajtásáról szóló 2007. évi XLVIII. törvény 2. § (2) bekezdésében meghatározott adatait kezeli. A Határon Átlépő Készpénzforgalom Nyilvántartást kezelő szervek felsorolását és a hozzáférési jogosultságokat a 4. melléklet tartalmazza. (5) A Bűnügyi Kockázatelemző Adatbázis (a továbbiakban: RABÁN) a NAV kiemelt felderítésének kockázatelemzési szempontból lényeges, a NAV tv. 72. § (1) bekezdés e) és f) pontjában meghatározott személyes és különleges, illetve az árukkal, szállító eszközökkel, a jogsértéssel érintett cégekkel kapcsolatos adatok nyilvántartására szolgál. A RABÁN-t kezelő szervek felsorolását és a hozzáférési jogosultságokat az 5. melléklet tartalmazza. (6) A Netzsaru rendszer strukturált adatbázis formájában magába foglalja a RobotzsaruNeo rendszer használata során rögzített ügyek releváns adatait. A Netzsaru rendszert kezelő szervek köre és a hozzáférés a RobotzsaruNeo rendszerhez való hozzáférés által meghatározott. 2. Az adatbiztonság technikai szabályai 3. § (1) Az informatikai rendszer technikai elemeinek elhelyezésére szolgáló helyiséget úgy kell kialakítani, hogy az megfelelő védelmet biztosítson a külső és a belső veszélyforrásokkal szemben egyaránt. (2) Az informatikai rendszer technikai elemeinek elhelyezésére szolgáló épületben olyan be- és kiléptető rendszer üzemeltetése szükséges, mely a személyi forgalom pontos, visszakereshető naplózására mindenkor alkalmas. (3) Az adatbázis adatainak másolás, megjelenítés, nyomtatás, kimutatás készítés céljából történő felhasználásakor a felhasználók azonosítása, a rendszer részeinek használatára való jogosultság ellenőrzése, a jogosultságnak nem megfelelő rendszerrészekbe történő belépés kizárása kötelező. 4. § (1) Hálózati kiszolgáló gépen (a továbbiakban: szerver) vagy számítógépen tárolt adatokat az alábbiak szerint kell kezelni: a) az adatokat tartalmazó szervert elkülönítetten, az erre a célra kialakított, zárt helyiségben kell üzemeltetni és biztosítani kell a folyamatos működéshez szükséges technikai feltételeket, így különösen a szünetmentes tápellátást, a megfelelő páratartalom és hőmérséklet szinten tartását, a kisugárzás elleni védelmet, b) az a) pont szerint kialakított helyiségben elhelyezésre kerülő egyéb számítástechnikai eszközök körét szigorúan meg kell határozni, és azok nem lehetnek adatkapcsolatban az adatokat tartalmazó szerverrel, c) az a) pont szerint kialakított helyiség vonatkozásában be- és kiléptető rendszert kell működtetni, amely visszakereshető módon dokumentálja a személyi forgalmat, d) az adatokat tartalmazó szervert elérő munkaállomás csak kódolt adatátviteli hálózaton keresztül kapcsolódhat a szerverhez, e) az adatkezelési feladatokat ellátó munkaállomásoknak a felhasználó azonosítása és autentikációja után kell kapcsolódnia a szerverhez, jelszórendszert kell kialakítani, f) az adathoz való hozzáférést szervezeti és beosztási hierarchiának megfelelően kell kialakítani, g) az adathordozó tartalmát az arra jogosult személy is csak a feladata végrehajtása érdekében, a hozzáférési jogosultságának keretei között ismerheti meg, h) az adaton végzett műveletről napló állományt kell készíteni, i) a szerver védelmi rendszerét úgy kell kialakítani, hogy az megakadályozza az adatkezelésre használt számítástechnikai tárolóeszközbe történő illetéktelen bevitelt, a tár tartalmának illetéktelen törlését vagy bármilyen módon való megváltoztatását, illetve bármely adatmódosítást felhasználói jogosultsághoz kell kötni, j) biztosítani kell a szerver naprakész és a kor követelményének megfelelő folyamatos vírusvédelmét. (2) Biztosítani kell a raktározott állapotú szoftvert tartalmazó adathordozó, a biztonsági másolat, a munkakópia, az archivált adatot tartalmazó adathordozó 3. § (1) bekezdés szerinti védelmét. 5. § Egyéb adathordozón, így különösen iraton, fényképen, hangfelvételen tárolt adatokat az alábbiak szerint kell kezelni: a) az egyéb adathordozó elhelyezésére szolgáló helyiségek kialakításánál a 3. § (1) bekezdésben foglaltak az irányadók, b) az egyéb adathordozóról, azok mozgásáról és felhasználásukról a nyomon követhetőség érdekében hiteles nyilvántartást kell vezetni, c) biztosítani kell az egyéb adathordozókhoz való jogosulatlan hozzáférés megakadályozását, ennek érdekében az irattárba csak meghatározott rendben történhet belépés, d) az egyéb adathordozók tartalmát az arra jogosult személy is csak a feladata végrehajtása érdekében, a hozzáférési jogosultságának keretei között ismerheti meg. 6. § A használatban lévő szoftver esetében: a) a programok átadás-átvételéről nyilvántartást kell vezetni, b) biztosítani kell, hogy a belépés ellenőrizhető legyen (felhasználói hitelesítés), a rendszer autentikációja, valamint a hozzáférés és jogosultság kezelése szempontjából megfelelő biztonságot nyújtson, c) el kell végezni az új vagy változtatott szoftver megfelelő minősítését (implementálás), d) biztosítani kell, hogy a program előállítása teljes, világos legyen (specifikáció), e) a felhasználói felületnek egyszerűnek és érthetőnek kell lennie, f) a feladat ellátásához szükséges mértékben kell meghatározni a hozzáférési jogosultságot, g) csak ellenőrzött és vírusmentes adathordozót lehet felhasználni, h) szoftver importja a hálózaton keresztül tilos. 3. Záró rendelkezések 7. § Ez a rendelet a kihirdetést követő napon lép hatályba. 8. § Hatályát veszti a Vám- és Pénzügyőrség bűnmegelőzési, bűnüldözési, valamint államigazgatási tevékenységével összefüggésben keletkezett adatok kezeléséről szóló 34/2004. (VI. 23.) PM rendelet. Dr. Matolcsy György s. k., nemzetgazdasági miniszter