ORSZÁGGYŰLÉS HIVATALA FŐIGAZGATÓ Az Országgyűlés Hivatala főigazgatójának 10/2017. számú szabályzata a személyes adatok védelméről és biztonságáról Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 24. (3) bekezdésében foglaltak alapján, az Országgyűlés Hivatala Szervezeti és Működési Szabályzata (a továbbiakban: SZMSZ) 34. (1) g) pontjában meghatározott jogkörömben az Országgyűlés Hivatala (a továbbiakban: Hivatal) által törvény felhatalmazásából vagy önkéntes hozzájárulás alapján kezelt személyes adatok védelme érdekében a következő szabályzatot alkotom: I. A szabályzat hatálya, célja 1. A szabályzat hatálya kiterjed a) a Hivatal valamennyi szervezeti egységére, b) a Hivatal közszolgálati jogviszonyban és munkaviszonyban álló alkalmazottaira, c) a képviselőcsoportok tevékenységét segítő szakértőkre és ügyviteli dolgozókra, d) a Hivatal által igénybe vett adatfeldolgozóra, valamint e) az a)-d) pont szerintiek által kezelt személyes adatokra. 2. A szabályzat célja, hogy lehetővé tegye a Hivatal tevékenysége során a személyes adatok védelméhez fűződő információs önrendelkezési jog érvényesülését, továbbá hogy a Hivatal által kezelt személyes adatok jogosulatlan felhasználásának megakadályozása érdekében meghatározza az adatvédelmi és adatbiztonsági szabályokat. 3. A közszolgálati nyilvántartás keretében kezelt személyes adatokról, a minősített adatok kezeléséről és védelméről, továbbá a közérdekű adatok megismeréséről, valamint a Hivatalnál keletkező, oda érkező, illetve onnan kimenő iratokban kezelt személyes adatokról külön szabályzat rendelkezik. II. Általános rendelkezések 4. A szabályzat alkalmazásában az Infotv. 3. -ában meghatározott fogalmakat kell alkalmazni azzal, hogy a) adatkezelő hivatali szervnek minősül a Hivatal SZMSZ-ben meghatározott szervezeti egysége, amelynek feladata ellátása során a személyes adat kezelése és nyilvántartása szükségessé válik, valamint
b) adatkezelőnek minősül az adatkezelő hivatali szerv köztisztviselője, munkavállalója, illetve külső megbízottja (a továbbiakban a szabályzat alkalmazásában együtt: alkalmazott), akinek feladatkörébe tartozik a személyes adat kezelése és nyilvántartása. 5. A Hivatal által a cél megvalósulásához szükséges mértékben és ideig kizárólag olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen és a cél elérésére alkalmas. 6. Személyes adat kezelésére kizárólag a Hivatal jogszabályban meghatározott feladat- és hatáskörének gyakorlásához szükséges célból, jog gyakorlása vagy kötelezettség teljesítése érdekében van lehetőség. 7. Az információs önrendelkezési jog tiszteletben tartása érdekében a Hivatal alkalmazottja személyes adatot kizárólag törvényben írt esetekben, illetve akkor kezelhet, ha törvény felhatalmazása alapján a főigazgató, mint az adatkezelő szerv vezetője azt elrendeli, vagy ahhoz az érintett adatalany erre irányuló megfelelő tájékoztatást követően kifejezetten hozzájárult. 8. A Hivatal által kezelt személyes adatok magáncélra való felhasználása tilos. 9. A Hivatal adatkezelést végző alkalmazottja fegyelmi felelősséggel tartozik a feladatés hatáskörének gyakorlása során tudomására jutott személyes adatok jogszerű kezeléséért, a Hivatal nyilvántartásaihoz rendelkezésére álló hozzáférési jogosultságok jogszerű gyakorlásáért. 10. A Hivatal adatkezelést végző alkalmazottja munkaköri leírásában, ennek hiányában szerződésében rögzíteni kell az adatkezelésre vonatkozó feladatokat. 11. A személyes adatot tartalmazó elektronikus nyilvántartást, programrendszert más természetű, illetőleg külső nyilvántartással, programrendszerrel összekapcsolni törvényben meghatározott esetek, illetve az érintett erre irányuló kifejezett beleegyezése kivételével nem szabad. III. Az adatkezelés elvei, az érintett jogainak érvényesítésével összefüggő feladatok 12. Az érintett tájékoztatást kérhet a Hivataltól a személyes adatainak kezeléséről, és kérheti személyes adatainak helyesbítését, illetve a jogszabályban elrendelt adatkezelések kivételével azok törlését, valamint törvényi felhatalmazás esetén tiltakozhat személyes adatának kezelése ellen. 13. Az érintett tájékoztatása kiterjed különösen a kezelt adatok megjelölésére, az adatkezelés céljára, jogalapjára, időtartamára, az adatfeldolgozó nevére, címére és az adatkezeléssel összefüggő tevékenységére, valamint az Infotv. 15. (1) bekezdésében meghatározottakra. 14. Amennyiben az érintett tájékoztatást kér személyes adatai kezeléséről, az adatkezelő hivatali szerv vezetője adja meg a tájékoztatást az Infotv. 15. (4) bekezdése szerinti határidőben és rendelkezések szerint. 15. Az Infotv. 9. (1) bekezdésében és 19. -ában meghatározott az érintettnek az adatkezeléssel kapcsolatos jogait korlátozó esetekben a kérelem elutasítását az adatkezelő hivatali szerv vezetője végzi. Az elutasított kérelmekkel kapcsolatos, a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) 2
Infotv. 16. (3) bekezdése szerinti éves tájékoztatását a Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztály végzi. Az adatkezelő hivatali szerv vezetője az Infotv. 9. (1) bekezdése és 19. -a szerinti esetekben történt elutasításról az elutasítást követő 30 napon belül tájékoztatja a Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztály vezetőjét a melléklet szerinti formanyomtatvány felhasználásával. 16. Az adatkezelés az Infotv. 68. (6) bekezdése szerinti adatvédelmi nyilvántartási azonosító számát az adatok harmadik személy részére főigazgató előzetes engedélyével történő továbbításánál, nyilvánosságra hozatalánál és az érintettnek történő kiadásánál fel kell tüntetni. 17. Személyes adat akkor továbbítható, ha ahhoz az érintett hozzájárult vagy azt törvény lehetővé teszi. 18. Az adatkezelő hivatali szerv az adattovábbítás jogszerűségének ellenőrzése, valamint az érintett tájékoztatása céljából az Infotv. 15. (2) bekezdése szerinti tartalommal adattovábbítási nyilvántartást vezet. 19. A valóságnak nem megfelelő adatot az adatkezelő amennyiben a szükséges adatok rendelkezésre állnak köteles helyesbíteni. Amennyiben a hibás adat nem helyesbíthető, akkor azt a kötelezően levéltári őrizetbe kerülő adathordozón tárolt személyes adat kivételével törölni kell. A hibás adatot a kijavításig vagy a törlésig jelzéssel kell ellátni. 20. A kezelt adatot törölni kell, ha: a) az adat kezelése jogellenes, b) az érintett azt törvényben előírt kötelező adatkezelést kivéve kéri, c) az adat hiányos vagy téves, és ez az állapot jogszerűen nem orvosolható, feltéve, hogy a törlést törvény nem zárja ki, d) az adatkezelés célja megszűnt vagy az adatok tárolásának törvényben meghatározott határideje lejárt, e) azt a bíróság vagy a főigazgató elrendelte. 21. Az adat helyesbítéséről vagy törléséről az érintetten kívül mindazokat tájékoztatni kell, akiknek az adat továbbításra került, kivéve, ha a tájékoztatás elmaradása az adatkezelés céljára tekintettel az érintett jogos érdekeit nem sérti. IV. Adatállományok (nyilvántartások) 22. Az adatkezelő hivatali szerv külön adatállományt hoz létre a különböző tárgyban és célból kezelt adatokról, biztosítva az egyes adatállományok elkülönített, célhoz kötött, célnak megfelelő kezelését. A pályázók, a Hivatal alkalmazottainak, valamint a Hivatallal megbízási és vállalkozási jogviszonyban állók személyes adatai 23. A Hivatal személyügyi nyilvántartásának kezelésére és vezetésére a közszolgálati szabályzat és a közszolgálati adatok védelméről szóló szabályzat rendelkezései az 3
irányadók. A személyügyi nyilvántartási adatkezelést az Infotv. 65. (3) bekezdés a) pontja alapján nem kell bejelenteni az adatvédelmi nyilvántartásba. 24. A szakszervezeti vagy érdekképviseleti szervezeti tagságra utaló adat az érintett munkatárs írásbeli hozzájárulása alapján kezelhető. A munkáltató a szakszervezeti, vagy az érdek-képviseleti tagdíj átutalásához szükséges intézkedéseket abban az esetben teheti meg, ha a személyes adatok kezeléséhez az érintett tagok önkéntes és írásbeli beleegyezését beszerzi. 25. A Hivatal által kiírt pályázatokra beküldött jelentkezésekhez mellékelni kell a pályázóknak a személyes adatok kezeléséhez a pályázati anyaggal együtt megadott személyes hozzájárulását. A pályázat elbírálása után az eredménytelen pályázók személyes adatait tartalmazó adathordozókat a pályázónak a személyes adatai további pályázatok során történő felhasználására vonatkozó hozzájárulása hiányában meg kell semmisíteni. A megsemmisítésről (törlésről) jegyzőkönyvet kell felvenni. 26. A Hivatalhoz álláskeresési céllal (egyéni jelentkezéssel) eljuttatott önéletrajzokban lévő személyes adatok kezeléséhez az érintett, felvételt kezdeményező hozzájárulását vélelmezni kell. Sikertelen jelentkezés esetén a személyes adatokat, valamint a papír alapon küldött önéletrajzot 6 hónap elteltével törölni kell, illetve meg kell semmisíteni. 27. A Hivatal az érintett hozzájárulása nélkül közérdekből tájékoztatást adhat a köztisztviselő (munkaviszonyban álló) nevéről, beosztásáról, munkaköréről, továbbá a közszolgálati tisztviselőkről szóló törvény szerint közérdekből nyilvánosnak minősülő adatokról, valamint ha azt törvény nem zárja ki egyéb, a közfeladata ellátásával összefüggő adatairól. A nyújtott tájékoztatásról az érintettet értesíteni kell. 28. A Hivatallal megbízási, vállalkozási jogviszonyban álló személy a személyes adatok kezelésére irányuló hozzájárulását a Hivatallal írásban kötött szerződés keretében is megadhatja, a szerződésben foglaltak teljesülése céljából. Ebben az esetben a szerződésnek utalnia kell arra, hogy a szerződő felet az adatkezelésről megfelelően tájékoztatták, így különösen tájékoztatást kapott a kezelendő adatokról, az adatkezelés időtartamáról, a felhasználás céljáról, az adatok továbbításáról. A szerződésnek félreérthetetlen módon kell tartalmaznia, hogy az érintett aláírásával hozzájárul adatainak a szerződésben meghatározottak szerinti kezeléséhez. Az érintett hozzájárulását megadottnak kell tekinteni az érintett által nyilvánosságra hozatal céljából átadott, illetve közérdekűnek minősülő adatok tekintetében. 29. A vagyonnyilatkozat-tételre köteles alkalmazottak és velük közös háztartásban élő hozzátartozóik vagyonnyilatkozataiban foglalt személyes adatok kezelésére az egyes vagyonnyilatkozat-tételi kötelezettségekről szóló 2007. évi CLII. törvény és a közszolgálati szabályzat rendelkezéseit kell alkalmazni. Az országgyűlési képviselők és nemzetiségi szószólók vagyonnyilatkozataiban foglalt személyes adatok kezelésére az Országgyűlésről szóló 2012. évi XXXVI. törvény (a továbbiakban: Ogytv.) rendelkezéseit kell alkalmazni. 30. Amennyiben az elektronikusan kitöltött vagyonnyilatkozatát az érintett saját gépén tárolja, az adatvédelmi szabályok betartása a vagyonnyilatkozat-tételre kötelezett felelőssége, amelyre vonatkozóan a Hivatal, mint munkáltató felelősséget nem vállal. A beléptetés során keletkező személyes adatok 4
31. Az Országházba, valamint az Országgyűlés Irodaházába történő belépés céljából megadott személyes adatokat az Ogytv. 54. (4) bekezdésben foglaltak szerint kell kezelni. A személyes adatokat tartalmazó gazdasági nyilvántartások 32. A Hivatal alábbi gazdasági nyilvántartásaiban kezelhetők személyes adatok: a) személyi anyagok, egészségbiztosítási ellátások nyilvántartása, magánnyugdíjpénztári nyilvántartás, fizetési jegyzékek, járulék-nyilvántartások, b) számfejtési anyagok, bérfeladások, bérátutalások, statisztikai jelentések, c) személyi jövedelemadó nyilvántartások, adó- és járulékbevallások, d) a közbeszerzési eljárások dokumentációihoz való hozzájutás céljából ajánlatkérők, érdeklődők személyes adatainak nyilvántartása, e) a költségvetési támogatások nyújtása során keletkező adatok nyilvántartása. A közérdekű bejelentést és integritást sértő eseményre vonatkozó bejelentést tevők adatainak kezelése 33. Az integritás-bejelentések fogadása, kivizsgálása során megadott személyes adatokat a szervezetfejlesztési szakreferens kezeli a panaszokról és a közérdekű bejelentésekről szóló 2013. évi CLXV. törvény (a továbbiakban: Panasztv.), valamint a belső kontrollrendszerről szóló főigazgatói szabályzat rendelkezései alapján. 34. A közérdekű bejelentések, panaszok elbírálása, kivizsgálása és megválaszolása során a panaszos vagy közérdekű bejelentő személyes adatait csak az eljárás lefolytatására feladatkörrel rendelkező adatkezelő ismerheti meg és kezelheti a Panasztv. előírásai alapján. Önkéntes hozzájáruláson alapuló adatkezelés 35. Törvényi felhatalmazás hiányában az adatkezelés alapjául kizárólag az érintett megfelelő tájékoztatásán alapuló, önkéntes és határozott hozzájárulása szolgálhat, amelyben félreérthetetlen beleegyezését adja a rá vonatkozó, az adatkezelés megvalósításához szükséges személyes adatok meghatározott célból, körben és ideig történő kezeléséhez. A hozzájárulás beszerzése során az érintettet kifejezetten figyelmeztetni kell a beleegyezés önkéntességére. 36. 1 A Hivatal a következő ügycsoportokban kezelhet személyes adatokat az érintett erre vonatkozó önkéntes hozzájárulása alapján: a) az országgyűlési képviselői, nemzetiségi szószólói adatközlő lap kitöltése során keletkezett személyes adatok, b) az iratkezelési szabályzat alapján kutatási engedélyt kérő adatai, c) a Hivatal által kiírt, nem foglalkoztatásra irányuló szakmai, tudományos pályázatok elbírálása, értékelése során, a díjazások (adományok) kifizetése érdekében rögzített személyes adatok, d) az Országgyűlési Könyvtárba történő beiratkozás adatai, e) a hivatali szervek rendezvényeinek, szakmai konferenciáinak szervezése során keletkezett adatok, f) hírlevelek, elektronikus hirdetések kiküldése során keletkezett adatok, g) a Hivatal kiadványainak elektronikus előjegyzése során keletkezett adatok, 5
h) közérdekű adatkérések során keletkezett adatok esetében. 37. Az érintettek adatkezeléshez történő tájékozott hozzájárulása érdekében a 36. pontban felsorolt ügycsoportonként külön adatkezelési tájékoztatót kell készíteni az Infotv. 20. -a szerinti követelmények alapján. Az adatkezelési tájékoztató tartalmazza az ügycsoport szerinti adatkezelési cél megvalósulásához feltétlenül szükséges, adatkezeléssel érintett személyes adatok megjelölését is. 38. Az adatkezelési tájékoztatót a 36. pont szerinti adatkezeléssel érintett hivatali szerv vezetője a Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztályvezetővel együttműködve készíti el. 39. Az adatkezelési tájékoztatót, illetve a tájékoztatás egyéb formáját a főigazgató hagyja jóvá, a nyilvánosságra hozatal, az érintettekhez való továbbítás az adatkezeléssel érintett hivatali szerv vezetőjének feladata. V. Adatbiztonsági előírások 40. Az informatikai adatbiztonsági előírások részletes meghatározását az informatikai biztonságról szóló szabályzat tartalmazza. 41. Az egyes adatkezelések biztonsága megállapításához az Informatikai Belső Fejlesztési és Ügyfélszolgálati Főosztály, valamint az Információs Rendszer Üzemeltetési Főosztály vezetője elemezi az alábbiakat: a) a kezelt személyes adatok jogosulatlan megismerésével, megváltoztatásával, törlésével járó kockázatot és a várható kárt, b) azt, hogy helyreállítható-e a sérült adatállomány, valamint az esetleges helyreállítás ráfordításait, a személyes adatok reprodukálásához szükséges adatforrások rendelkezésre állását, a manuális háttérnyilvántartásból az elveszített adatok pótlásának lehetőségét, c) azt, hogy a kezelt személyes adatok jellegére tekintettel indokolt-e megkülönböztetett biztonsági előírásokat alkalmazni, d) az adatbiztonságot veszélyeztető más kockázati elemeket, e) azt, hogy a védelemhez szükséges feltételrendszer megteremtéséhez és fenntartásához biztosítottak-e a szükséges erőforrások. 42. A belső ellenőrzés során a személyes adatokat tartalmazó adathordozókról készített másolatot az ellenőrzés befejezését követően haladéktalanul meg kell semmisíteni. A költségvetési szervek belső kontrollrendszeréről és belső ellenőrzéséről szóló 370/2011. (XII.31.) Korm. rendelet 22. (2) b) pontja alapján a belső ellenőrzési vezető gondoskodik az ellenőrzési dokumentumok megőrzéséről, illetve a dokumentumok és az adatok biztonságos tárolásáról. 43. Ha az adatkezelést végző hivatali szerv vezetője az Infotv. 3. 26. pontja szerinti adatvédelmi incidensről szerez tudomást, arról haladéktalanul tájékoztatja az informatikai biztonsági felelőst és a Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztály vezetőjét. A Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztály az adatvédelmi incidensekről az Infotv. 15. (1a) bekezdése alapján nyilvántartást vezet, amely tartalmazza az érintett személyes adatok körét, az 6
adatvédelmi incidenssel érintettek körét és számát, az adatvédelmi incidens időpontját, körülményeit, hatásait és az elhárítására megtett intézkedéseket. VI. Vegyes rendelkezések 44. Az Infotv. 66. (1) bekezdése szerinti, a hatósági adatvédelmi nyilvántartásba vétel kezdeményezésére irányuló kérelmet az adatkezelés megkezdése előtt az érintett hivatali szerv vezetője a Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztály vezetőjével együttműködve készíti el, majd annak jóváhagyását követően a Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztály vezetője jár el a hatósági nyilvántartásba vétel érdekében. 45. Az adatkezelés megszűnését az adatkezelésért felelős hivatali szerv vezetője haladéktalanul jelzi a Fejezeti Ügyeket és Szervezetfejlesztést Koordináló Osztály vezetőjének, aki azt nyolc napon belül köteles bejelenteni a Hatóságnak. 46. A 36. pontban felsorolt ügycsoport szerinti adatkezeléssel érintett hivatali szerv vezetője a szabályzat hatálybalépésétől számított 30 napon belül a 38. pontban foglaltak szerint elkészíti, illetve felülvizsgálja az adott ügycsoportra vonatkozó adatkezelési tájékoztatót. 47. A szabályzatban nem érintett kérdésekben az Infotv.-ben foglaltak szerint kell eljárni. 48. A jelen szabályzat 2017. szeptember 15-én lép hatályba. Budapest, 2017. augusztus 3. Such György Egyetértek. Budapest, 2017. augusztus 3. Kövér László Melléklet: Tájékoztatás a személyes adatok kezelésére vonatkozó elutasított tájékoztatási, helyesbítési, törlési és zárolási kérelmekről 1 Kiegészítette: a 12./2017. számú főigazgatói szabályzat 13. pontja, hatályos: 2017. szeptember 15. 7