ADATMEGŐRZÉSI ÉS TÖRLÉSI SZABÁLYZAT

Átírás

1 ADATMEGŐRZÉSI ÉS TÖRLÉSI SZABÁLYZAT

2 Tartalom 1. BEVEZETÉS AZ IRATOK MEGŐRZÉSÉRE ÉS TÖRLÉSÉRE VONATKOZÓ SZABÁLYZAT ÁLTALÁNOS ELVEK AZ IRATOK TÍPUSAI ÉS A VONATKOZÓ IRÁNYMUTATÁSOK NYILVÁNTARTANDÓ ELEMEK ÉS IRATOK KIFEJTÉSE ADATKEZELÉSI HOZZÁJÁRULÁSOK ÜZLETI TEVÉKENYSÉGHEZ KAPCSOLÓDÓ IRATOK BIZONYOS SZÁMVITELI NYILVÁNTARTÁSOK ADÓZÁSI KÖTELEZETTSÉGEK MEGÁLLAPÍTÁSÁHOZ SZÜKSÉGES IRATOK ÁLTALÁNOS LEVELEZÉS MARADANDÓ ÉRTÉKŰ IRATOK MUNKAÜGYI NYILVÁNTARTÁSOK MINŐSÍTETT INFORMÁCIÓT TARTALMAZÓ IRATOK TÁMOGATÁSI NYILVÁNTARTÁSOK TITKOSÍTÁS ÉS ÁLNEVESÍTÉS ALKALMAZÁSA ADATTÁROLÓ KIVÁLASZTÁSA IRATOK LEKÉRDEZÉSE IRATOK MEGSEMMISÍTÉSE IRATOK FELÜLVIZSGÁLATA Táblázatok jegyzéke 1. TÁBLÁZAT - NYILVÁNTARTÁSOK TÍPUSAI ÉS MEGŐRZÉSI IDŐK... 5

3 1. Bevezetés A mindennapi üzleti működése során az [utazási iroda] különféle típusú iratokat kezel és tárol. Az ilyen iratok relatív fontossága és érzékenysége is változó a vonatkozó jogszabályok és belső előírások fényében. Az [utazási iroda] meg kell, hogy megfeleljen minden vonatkozó jogi, szabályozási és szerződéses követelménynek az iratok gyűjtése, tárolása, lekérdezése és megsemmisítése során. A jelen szabályzat szempontjából különösen jelentősek a GDPR személyes adatok tárolására és kezelésére vonatkozó előírásai. Ez a szabályozás vonatkozik minden rendszerre, személyre és folyamatra, akik/amelyek a szervezet információs rendszerét alkotják, beleértve a vezető tisztségviselőket, munkavállalókat, szállítókat és más harmadik feleket, akik hozzáférhetnek az [utazási iroda] rendszereihez. 2. Az iratok megőrzésére és törlésére vonatkozó szabályzat Ez a szabályzat azoknak az alapelveknek a rögzítésével kezdődik, amiket az iratok megőrzése és törlése körében figyelembe kell venni. Ezt követően meghatározza az utazási iroda által esetlegesen kezelt iratok típusait és a rájuk vonatkozó általános követelményeket. Végezetül az iratok megőrzésére, kezelésére és megsemmisítésére vonatkozó tudnivalókat tárgyalja Általános elvek Az iratok megőrzésére és törlésére vonatkozó legfontosabb alapelvek a következők: Az iratokat minden vonatkozó jogi, szabályozási és szerződéses követelménynek megfelelően kell nyilvántartani; Az iratokat nem szabad a kötelező vagy a szükséges időtartamnál hosszabb ideig tárolni; Az iratok tényleges kezelése, integritás és elérhetőség szempontjából történő védelme összhangban kell, hogy álljon az irat biztonsági besorolásával; Az üzleti követelményekkel és a vonatkozó adatvédelmi szabályokkal összhangban az iratoknak mindig visszakereshetőknek kell lenniük; A személyes adatokat tartalmazó iratok esetében az előírások szerinti legkorábbi időpontban olyan megoldásokat kell alkalmazni, amelyek megakadályozzák az adatokhoz köthető természetes személyek automatikus beazonosíthatóságát (álnevesítés, anonimizálás) Az iratok típusai és a vonatkozó iránymutatások

4 Az utazási irodák által kezelt iratok a megőrzés szempontjából többféle elméleti kategóriába sorolhatóak. Az alábbiakban táblázatban megjelölünk néhány példát, és az egyes adatokhoz kapcsolódó megőrzési időtartamokra vonatkozó esetleges megoldásokat. Az irodák felelőssége átgondolni és ellenőrizni, hogy milyen személyes adatokat kezelnek, és azokra milyen megőrzési határidőket kell alkalmazniuk. Megjegyzendő, hogy az alábbi példák csak általános útmutatások és lehetnek egyedi esetek, ahol az adott iratot a később leírtakkal ellentétben hosszabb vagy rövidebb ideig kell megőrizni. Erről eseti alapon kell dönteni az új vagy jelentősen módosított folyamatok és szolgáltatások információbiztonsági elemei megtervezésének részeként. Az [utazási iroda] az alábbi besorolású iratokat kezeli és tárolja napi működése során.

5 Táblázat - Nyilvántartások típusai és megőrzési idők Adatok, dokumentumok és iratok Adatkezeléshez adott hozzájárulás Üzleti tevékenységhez kapcsolódó iratok A pénzügyi év éves beszámolója, az éves jelentés a leltárral, értékeléssel, főkönyvi kivonattal és naplófőkönyvvel együtt, továbbá a törvénynek az éves beszámoló alátámasztására vonatkozó előírásainak megfelelően vezetett egyéb nyilvántartások Példák az irattípusra - aláírt ÁSZF, - hírlevél küldésére szóló hozzájárulás, - rendezvényen leadott hozzájárulás megkeresésre - szerződések, előszerződések, megrendelések - számviteli törvényben megjelölt iratok Szabályzat Megőrzési idő betartásáért felelős Tárolás (eszköz / hely / osztály) (év) személy [] [] Azon törvényes adatkezelési cél megszűnéséig, amihez a hozzájárulást megszerezték, de legfeljebb 5 évig javasolt érintett szolgáltatás teljesítésének lezárulását követően a pénzügyi követelések elévülési idejéig (5 évig) [] [] 8 év

6 A vonatkozó jogszabályok által előírt számviteli bizonylatot, könyvet, nyilvántartást - ideértve a bármilyen gépi adathordozón rögzített adatokat és információt is - olyan eszközökkel kell kiállítani, illetve vezetni, hogy az az adó alapjának, az adó összegének, a mentességnek, a kedvezménynek, a költségvetési támogatás alapjának és összegének, továbbá ezek megfizetésének, illetve igénybevételének megállapítására, ellenőrzésére alkalmas legyen. Munkaügyi nyilvántartások (kötelező törvényi előírások alapján kezelt) Maradandó értékű iratok Minősített információt tartalmazó iratok - adózás rendjéről szóló jogszabály szerinti iratok - a munkavállalók adatai, a biztosításra és járulékfizetésre vonatkozó adatok - napi üzletmenetben feltehetőleg nem fordulnak elő [] [] 10 év (ez honnan jön?) az adó megállapításához való jog elévüléséig [] [] Folyamatos [] [] Folyamatos [] [] Kategóriától függően év Támogatási nyilvántartások [] [] 10 év [megfelelően kiegészítendő, módosítandó]

7 2.3. Nyilvántartandó elemek és iratok kifejtése Adatkezelési hozzájárulások Az adatkezelési hozzájárulások főszabályként visszavonásig érvényesek, kivéve, ha eleve konkrét tevékenységre korlátozódtak (pl: téli szezonra vonatkozó ajánlatkérés). Visszavonásuk esetén nem csak a hozzájárulással érintett adatok további kezelésének jogalapja szűnik meg (és más jogalap hiányában eredményezi az érintett személyes adatok törlési kötelezettségét), hanem magának az eredeti nyilatkozatnak a további kezeléséhez kapcsolódó eredeti jogalap is megszűnik. Ebben az esetben ugyanakkor az [utazási irodának] továbbra is fennmarad az érdeke a hozzájárulás kezelése tekintetében, hiszen előfordulhat, hogy bizonyítania kell, hogy a visszavonás előtti megkeresések az utazó hozzájárulása mellet történtek. Célszerű ezért a korlátozott hozzájárulás céljának megszűnése, illetve a hozzájárulás visszavonását követően az általános polgári jogi igények elévüléséig, azaz 5 évig megőrizni a hozzájárulást tartalmazó iratot Üzleti tevékenységhez kapcsolódó iratok Az üzleti tevékenységhez kapcsolódó iratok, így különösen az utazási szerződések, megrendelések, a teljesítés kapcsán keletkezett iratok (pl: jegyzőkönyv) tekintetében a rendes polgári jogi elévülési határidőn belül felmerülhetnek igények, így ezen iratok megőrzése a releváns szerződés teljesülését követő 5 évig indokolt Bizonyos számviteli nyilvántartások A számvitelről szóló évi C. törvény 169. (1) bekezdése kimondja, hogy a gazdálkodó az üzleti évről készített beszámolót, az üzleti jelentést, valamint az azokat alátámasztó leltárt, értékelést, főkönyvi kivonatot, továbbá a naplófőkönyvet, vagy más, a törvény követelményeinek megfelelő nyilvántartást olvasható formában legalább 8 évig köteles megőrizni Adózási kötelezettségek megállapításához szükséges iratok Az adózás rendjéről szóló évi CL. törvény 77. (1) bekezdése szerint a jogszabályban előírt számviteli bizonylatot, könyvet, nyilvántartást - ideértve a bármilyen gépi adathordozón rögzített adatokat és információt is - úgy kell kiállítani, illetve vezetni, hogy az az adó alapjának, az adó összegének, a mentességnek, a kedvezménynek, a költségvetési támogatás alapjának és összegének, továbbá ezek megfizetésének, illetve igénybevételének megállapítására, ellenőrzésére alkalmas legyen. A 77. (1) bekezdésében meghatározott iratokat az ezek vezetésére kötelezett adózó az adóhatósághoz bejelentett helyen köteles őrizni. Az iratokat a könyvelés, feldolgozás időtartamára más helyre lehet továbbítani, az adóhatóság felhívására azonban azokat három munkanapon belül be kell mutatni.

8 Az iratokat az adózónak a nyilvántartás módjától függetlenül az adó megállapításához való jog elévüléséig, a halasztott adó esetén a halasztott adó esedékessége naptári évének utolsó napjától számított öt évig kell megőriznie Általános levelezés Az általános ügymenethez kapcsolódó levelezés megőrzése az e fejezetben érintett egyéb irattípusokon kívüli, külön szabályozás alá nem tartozó körben az [utazási iroda] ügyvezetésének megfontolásai szerint kerülhet archiválásra. E körben meghatározatóak olyan szabályok, amelyek meghatározott idő elteltével automatikus törlésre, vagy letárolásra utasítják a rendszergazdát, vagy az elektronikus vagy fizikai iratok selejtezéséért felelős személyt Maradandó értékű iratok A köziratokról, a közlevéltárakról és a magánlevéltári anyag védelméről szóló évi LXVI. törvény 3. j) pontja szerint maradandó értékű irat a gazdasági, társadalmi, politikai, jogi, honvédelmi, nemzetbiztonsági, tudományos, művelődési, műszaki vagy egyéb szempontból jelentős, a történelmi múlt kutatásához, megismeréséhez, megértéséhez, a közfeladatok folyamatos ellátásához és az állampolgári jogok érvényesítéséhez nélkülözhetetlen, más forrásból nem vagy csak részlegesen megismerhető adatot tartalmazó irat. Korlátozások/felügyelet: a maradandó értékű iratokat át kell adni az illetékes levéltárnak, amennyiben a Társaság jogutód nélkül szűnik meg Munkaügyi nyilvántartások A jelen szabályzat alkalmazásában a Társaságnál a munkaügyi kapcsolatokra vonatkozó bármilyen és minden nyilvántartás ezen meghatározás hatálya alá esik. A munka törvénykönyvéről szóló évi I. törvény nem határoz meg kötelező megőrzési időt, így az egyéb jogszabályi rendelkezések irányadóak Minősített információt tartalmazó iratok A minősített adat védelméről szóló évi CLV. törvény pont a) alpont határozza meg a minősített adatot tartalmazó iratot: olyan adat, amelynek nyilvánosságra hozatala, jogosulatlan megszerzése, módosítása vagy felhasználása, illetéktelen személy részére hozzáférhetővé, valamint az arra jogosult részére hozzáférhetetlenné tétele - a megfelelő besorolási eljárások eredményeként - sérti vagy veszélyezteti a besorolás által védett közérdeket és amelynek a nyilvánosságát és megismerhetőségét korlátozzák; Korlátozások/felügyelet: a minősített adatot tartalmazó iratot a minősített adat védelméről szóló évi CLV. törvény rendelkezései szerint kell kezelni.

9 Támogatási nyilvántartások A jelen szabályzat alkalmazásában a Társaságnál az állami forrásokból kapott bármilyen és minden támogatásra vonatkozó nyilvántartás ezen meghatározás hatálya alá esik. A támogatásokhoz kapcsolódó iratok megőrzéséről a kérdéses támogatásra vonatkozó jogszabály ad eligazítást, általában a beruházás megvalósulását követő 10 évig áll fenn az ellenőrzés lehetősége, és így az iratmegőrzési kötelezettség. 3. Titkosítás és álnevesítés alkalmazása Amennyiben az szükségesnek tűnik az információ besorolására és az adathordozóra tekintettel (pl: személyes adatok kezelése), titkosítási technikákat kell alkalmazni a nyilvántartások titkosságának és integritásának megőrzése érdekében (pl. jelszavas hozzáférés). Biztosítani kell, hogy a nyilvántartások titkosításához használt titkosítási kulcsokat biztos helyen tárolják a vonatkozó nyilvántartások teljes időtartamára, és hogy azok megfeleljenek a szervezet titkosítási szabályzatának. Emellett bizonyos adatkészletek módosíthatók oly módon, hogy az ilyen adatokból természetes személyek ne legyenek azonosíthatók (sem közvetlenül, sem közvetve) egy kulcs nélkül, ami lehetővé teszi az ismételt azonosítást. Fontos, hogy a természetes személyek ismételt -azonosítását lehetővé tevő kulcsot mindig elkülönítve és biztos helyen tartsák. 4. Adattároló kiválasztása A hosszú távú adattároló eszköz kiválasztása során tekintettel kell lenni az adott eszköz fizikai jellemzőire és arra, hogy mennyi ideig fogják használni. Amennyiben jogszabály (vagy a gyakorlat) azt követeli meg, hogy az adott iratot papír alapon tárolják, megfelelő óvintézkedéseket kell tenni annak biztosítására, hogy a környezeti feltételek megfeleljenek a használt papír típusának. Ahol lehetséges, az ilyen iratokról biztonsági másolatot kell készíteni például szkennelés vagy mikrofilmre való felvétel útján. Rendszeres ellenőrzéseket kell végezni a papír minőségromlási ütemének értékelésére, és szükség esetén intézkedéseket kell tenni az iratok biztonságos megőrzése érdekében. Az elektronikus adathordozón, például szalagon tárolt iratok esetén óvintézkedéseket kell tenni az anyag tartósságának biztosítására, beleértve a megfelelő tárolást és szükség esetén több tartós adathordozóra való másolást. Az adott szalagformátum (vagy hasonló adathordozó) olvashatóságát fenn kell tartani az annak feldolgozására alkalmas berendezés megtartásával. Ha ez nem praktikus, akkor külső harmadik felet lehet igénybe venni arra, hogy adathordozót más formátumba konvertálja. 5. Iratok lekérdezése Az iratokat tároló eszközök megválasztása és tárolási képességének fenntartása során biztosítani kell, hogy az iratok használható formátumban elfogadható időtartamon belül lekérdezhetők legyenek. Különösen fontos ez a lekérdezhetőség annak fényében, hogy a GDPR alapján az

10 utazónak/munkavállalónak joga van arra, hogy tájékoztatást kapjon az utazási iroda által vele kapcsolatosan tárolt adatokról. Megfelelő egyensúlyt kell teremteni a tárolási költségek és a lekérdezés gyorsasága között úgy, hogy megfelelően tekintettel vannak a legvalószínűbb körülményekre. 6. Iratok megsemmisítése Miután az iratok tárolásának kötelezettsége elérte a meghatározott szabályzat szerinti időtartamuk végét, biztonságosan meg kell semmisíteni őket olyan módon, ami biztosítja, hogy többé nem használhatók vagy helyreállíthatóak (ideértve a biztonsági mentésekből való törlést is). A megsemmisítési eljárásnak lehetővé kell tennie a megsemmisítés részleteinek megfelelő rögzítését, amit bizonyítékként meg kell őrizni. Megjegyezzük, hogy az elektronikus adathordozón tárolt adatok végleges törlése csak különleges eljárással biztosítható, míg az adathordozón található egyes adatok végleges törlése a többi adat sérelme nélkül lényegében nem valósítható meg. Az ebből fakadó probléma jelenleg nem megoldott, az adatvédelmi hatóság jövőbeli gyakorlata adhat majd útmutatást, e kérdéskörben. 7. Iratok felülvizsgálata Az iratok megőrzési és törlési módszereit rendszeres felülvizsgálati eljárásnak kell alávetni, amit az ügyvezetés irányítása alatt kell elvégezni az alábbiak biztosítása érdekében: Az iratok megőrzésére és törlésére vonatkozó szabályzat továbbra is érvényes maradjon, Az iratok a szabályzatnak megfelelően őrzik, Az iratok biztonságosan semmisítik meg, amikor már nincs szükség rájuk, A jogi, szabályozási és szerződéses követelményeknek eleget tesznek, Az irat lekérdezési folyamatok kielégítik az üzleti igényeket. Az ilyen felülvizsgálatok eredményét rögzíteni kell.