A Magyar Afrika Társaság

Belső adatvédelmi és adatbiztonsági szabályzata

2016. 06. 28.

1. A szabályzat hatálya

1. 1.

Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.) 24. § (3) bekezdésében foglaltak szerinti belső adatvédelmi és adatbiztonsági szabályzat (a továbbiakban: Szabályzat) hatálya kiterjed a Magyar Afrika Társaság (továbbiakban: Egyesület) valamennyi szervezeti egységére, és munkatársára.

1. 2.

A Szabályzat célja, hogy biztosítsa az Egyesület tevékenysége során a személyes adatok védelméhez fűződő információs önrendelkezési jog érvényesülését, továbbá, hogy az Egyesület által kezelt személyes adatok jogosulatlan felhasználásának megakadályozása érdekében meghatározza a személyes és különleges adatok kezelése során irányadó adatvédelmi és adatbiztonsági szabályokat.

2. Értelmező rendelkezések

2. 1.

A Szabályzat alkalmazása során az Infotv.-ben meghatározottakon túl:

a) adatvédelem: a személyes és különleges adatok kezelésének normatív szabályozása az adatalany információs önrendelkezési jogának érvényesítése érdekében;

b) információs önrendelkezési jog: az Alaptörvény VI. cikkében biztosított személyes adatok védelméhez való jognak az a tartalma, hogy mindenki maga rendelkezik személyes adatainak feltárásáról és felhasználásáról;

c) adatbiztonság: a személyes adatok jogosulatlan kezelése, így különösen megszerzése, feldolgozása, megváltoztatása és megsemmisítése elleni szervezési, technikai megoldások és eljárási szabályok összessége; az adatkezelésnek az az állapota, amelyben a kockázati tényezőket – és ezzel a fenyegetettséget – a szervezési, műszaki megoldások és intézkedések a legkisebb mértékre csökkentik;

d) adatgazda: az Egyesület vezetője, illetve aki az adott adatkezelésre vonatkozó döntési jogosultsággal rendelkezik;

e) betekintési és megismerési jogosultság: az a jogkör, amelynek birtokában a jogosult számára elérhetővé, megismerhetővé válnak az adott adatállományban kezelt személyes és különleges adatok;

f) közvetlen megismerési jogosultság: adott adatállomány informatikai alkalmazás igénybevételével kezelt adatainak megismeréséhez adott olyan jogkör,amely a jogosult számára lehetőséget biztosít arra, hogy az ott kezelt adatokhoz az általa megválasztott időpontban közvetlen lekérdezéssel hozzáférjen;

g) közvetlen lekérdezés: adott adatállományban kezelt adatokban – az adatkezelő által előzetesen rendelkezésre bocsátott általános lekérdezési jogosultság felhasználásával – előre meghatározatlan időpontban és alkalommal, naplózott formában történ betekintés, illetve az így megismerhetővé vált információ kinyomtatása, vagy más módon történő rögzítése;

h) adathordozó: bármely alakban, bármilyen eszköz felhasználásával és bármilyen eljárással előállított, személyes vagy különleges adatot tartalmazó anyag;

i) hardver eszköz: valamennyi olyan eszköz, amelynek feladata az informatikai rendszer folyamatos működésének biztosítása, vagy amely biztonsági adatmentésre, avagy másolatok készítésére szolgál, valamint amely elektronikus vagy egyéb módon a számítógép külső behatás elleni védelmét szolgálja;

j) hírközlő eszköz: bármilyen technikai eszköz, technológiai eljárás, amely egy vagy több fogadó személy számára jelzések, adatok és információk továbbítására vagy fogadására alkalmas.

3. Az adatvédelem alapelvei

3. 1.

Az Egyesület által, illetve az Egyesület szervezetben a cél megvalósulásához szükséges mértékben és ideig csak olyan személyes és különleges adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen és a cél elérésére alkalmas.

3. 2.

Az Egyesület tisztségviselői, munkavállalói, önkéntes munkatársai és külső megbízottjai (a továbbiakban: az Egyesület alkalmazottai) a feladataik ellátása körében személyes és különleges adatot csak a vonatkozó jogszabályok előírásainak betartásával kezelhetnek.

3. 3.

A személyes adatok védelméhez való jog a természetes személyek Alaptörvényben biztosított alapjoga, amely garantálja az adatalanyok információs önrendelkezési jogát. Az információs önrendelkezési jog az érintettek beleegyezésének hiányában kizárólag törvényi felhatalmazás alapján korlátozható. Az információs önrendelkezési jog tiszteletben tartása érdekében az Egyesület alkalmazottja személyes adatot csak a törvényben írt esetekben, illetve akkor kezelhet, ha a törvény felhatalmazása alapján az Egyesület Elnöke azt elrendeli, vagy ahhoz az adatalany kifejezetten – különleges adat esetén írásban – hozzájárult.

3. 4.

Az Egyesület adatkezelést végző alkalmazottja adatkezelő fegyelmi, kártérítési, szabálysértési és büntetőjogi felelősséggel tartozik a feladat- és hatáskörének gyakorlása során tudomására jutott személyes adatok jogszerű kezeléséért, a Egyesület nyilvántartásaihoz rendelkezésére álló hozzáférési jogosultságok jogszerű gyakorlásáért.

3. 5.

Személyes adat kezelésére csak az Egyesület jogszabályban meghatározott feladat- és hatáskörének gyakorlásához szükséges célból, jog gyakorlása vagy kötelezettség teljesítése érdekében van lehetőség.

Törvényben elrendelt adatkezelés esetén kizárólag a felhatalmazást adó törvényben meghatározott célból valósulhat meg adatkezelés. Az Egyesület által kezelt – vagy az Egyesület feladatainak ellátásához más adatkezelő által rendelkezésre bocsátott – személyes adatok magáncélra való felhasználása tilos.

Az adatkezelésnek mindenkor meg kell felelnie a célhoz kötöttség alapelvének.

3. 6.

Ha az Egyesület alkalmazottja tudomást szerez arról, hogy az általa kezelt személyes adat hibás, hiányos, vagy időszerűtlen, köteles azt helyesbíteni, vagy helyesbítését az adat rögzítéséért felelős munkatársnál kezdeményezni.

4. Az érintett jogainak érvényesítése, a tiltakozási jog gyakorlása és az azokkal összefüggő feladatok

4. 1.

Az Egyesület vezetője biztosítja, hogy az érintett adatalany az Egyesület által kezelt adataihoz hozzáférjen.

4. 2.

Az érintett tájékoztatást kérhet az Egyesülettől a személyes adatainak kezeléséről, és kérheti személyes adatainak helyesbítését, illetve – a jogszabályban elrendelt adatkezelések kivételével – azok törlését, valamint – ha arra törvény felhatalmazza – tiltakozhat személyes adatainak kezelése ellen.

4. 3.

A tájékoztatás ingyenes, ha a tájékoztatást kérő az adott naptári évben azonos adatkezelésre vonatkozó tájékoztatási kérelmet még nem nyújtott be. Egyéb esetekben költségtérítést kell megállapítani, amelynek fedeznie kell a tájékoztatással kapcsolatban felmerült közvetlen költségeket. A már megfizetett költségtérítést vissza kell téríteni, ha az adatokat jogellenesen kezelték, vagy ha a tájékoztatás kérése a személyes adat helyesbítését eredményezte.

4. 4.

Amennyiben törvény alapján az érintett tájékoztatása nem tagadható meg, a tájékoztatás kiterjed a kezelt adatok megjelölésére, az adatkezelés céljára, jogalapjára, időtartamára, az adatfeldolgozó nevére, címére és az adatkezeléssel összefüggő tevékenységére, továbbá arra, hogy kik és milyen célból kapják vagy kapták meg az adatokat [Infotv. 15. § (1) bekezdés].

4. 5.

Az elutasított tájékoztatás iránti kérelmekről az Egyesület belső adatvédelmi felelőse nyilvántartást vezet, melyről a tárgyévet követő január 31-éig írásban tájékoztatja az Egyesület Elnökét.

4. 6.

A valóságnak nem megfelelő adatot az Egyesület – amennyiben a szükséges adatok rendelkezésre állnak – köteles helyesbíteni.

4. 7.

A kezelt adatot törölni kell, ha:

a) az adat kezelése jogellenes;

b) az érintett azt – törvényben előírt kötelező adatkezelést kivéve – kéri;

c) az adat hiányos vagy téves, és ez az állapot jogszerűen nem orvosolható, feltéve, hogy a törlést törvény nem zárja ki;

d) az adatkezelés célja megszűnt, vagy az adatok tárolásának törvényben meghatározott határideje lejárt;

e) azt a bíróság vagy az Egyesület elnöke elrendelte.

4. 8.

Az adat helyesbítéséről vagy törléséről az érintetten kívül mindazokat tájékoztatni kell, akiknek az adatot továbbították, kivéve, ha a tájékoztatás elmaradása az adatkezelés céljára tekintettel az érintett jogos érdekeit nem sérti.

4. 9. 1.

Az érintett tiltakozhat személyes adatának kezelése ellen, ha

a) a személyes adatok kezelése (továbbítása) kizárólag az adatkezelő vagy az adatátvevő jogának vagy jogos érdekének érvényesítéséhez szükséges, kivéve, ha az adatkezelést törvény rendelte el;

b) a személyes adat felhasználása közvélemény-kutatás vagy tudományos kutatás céljára történik;

c) a tiltakozás jogának gyakorlását törvény lehetővé teszi.

4. 9. 2.

Amennyiben a tiltakozás indokolt, az adatkezelő köteles az adatkezelést (további adatfelvételt, adattovábbítást) megszüntetni és az adatokat zárolni, valamint a tiltakozásról, és az annak alapján tett intézkedésekről értesíteni mindazokat, akik részére a tiltakozással érintett személyes adatot korábban továbbította. Az érintettek kötelesek intézkedni a tiltakozási jog érvényesítése érdekében.

4. 9. 3.

Ha az érintett nem ért egyet a tiltakozásának elbírálása eredményeként hozott adatkezelői döntéssel, a döntés ellen a közléstől számított harminc napon belül – az Infotv. 22. §-ában foglalt módon – bírósághoz fordulhat.

5. Az Egyesület adatvédelmi intézményrendszere

5. 1.

Az adatvédelmi előírások alkalmazása szempontjából adatkezelő szerv vezetőjének az Egyesület elnökét kell tekinteni.

5. 2. Az Egyesület belső adatvédelmi felelőséről a közérdekű adatok közzétételéről és az adatigénylések teljesítésének rendjéről szóló 9/2012. számú szabályzatának 2.2.1.-2.2.6. pontja rendelkezik.

6. Adatállományok (nyilvántartások) létrehozása, ügyviteli és nyilvántartási célú adatkezelés

6. 1.

Az Egyesület feladatainak ellátásához személyes és különleges adatokat kezelhet.

6. 2.

Törvényi felhatalmazás hiányában az adatkezelés alapjául kizárólag az érintett megfelelő tájékoztatásán alapuló, önkéntes és határozott – különleges adat esetén írásbeli – hozzájárulása szolgálhat, amelyben félreérthetetlen beleegyezését adja a megfelelő személyes adatok meghatározott célból és körben történő kezeléséhez. A hozzájárulás megszerzése során az érintettet kifejezetten figyelmeztetni kell a beleegyezés önkéntességére. Az érintett kérelmére, kezdeményezésére indult bírósági vagy Egyesületi eljárásban az eljárás lefolytatásához szükséges személyes adatok tekintetében, az érintett kérelmére indult más ügyben az általa megadott személyes adatok tekintetében az érintett hozzájárulását vélelmezni kell. A hozzájárulást – a későbbi igazolhatósága érdekében – különleges adatnak nem minősülő személyes adatok esetén is célszerű írásban rögzíteni.

6. 3.

Az Egyesület az adatkezelés eltérő célja alapján ügyviteli és nyilvántartási célú adatkezeléseket végez.

6. 4. 1.

Az ügyvitelhez kapcsolódó adatkezelés az ügy nyilvántartásához (iktatásához), feldolgozásához kapcsolódik. Alapvető célja az adott ügyhöz tartozó egyesületi eljárás (ügyintézés) lefolytatásához, az adatkezelés szereplőinek azonosításához és az ügy befejezéséhez szükséges adatok biztosítása. Az ügyviteli célú adatkezelés során a személyes adatok kizárólag az adott ügy irataiban és az ügyviteli segédletekben szerepelnek; kezelésük ebből a célból csak az alapul szolgáló irat selejtezéséig lehetséges.

6. 4. 2.

A nyilvántartási célú adatkezelés a jogszabályokban előre meghatározott adatkörök alapján gyűjtött adatfajtákból álló adatállományt hoz létre, az adatkezelés időtartama alatt biztosítva az adatok különböző jellemzők alapján történő visszakereshetőségét, lekérdezhetőségét.

7. Belső adatvédelmi nyilvántartás

7. 1.

A nyilvántartási célú adatállományt kezelő szervezeti egység vezetője az új adatállomány kialakítását a tevékenység megkezdése előtt 15 nappal bejelenti a belső adatvédelmi felelősnek, aki azt a belső adatvédelmi nyilvántartásba bejegyzi.

7. 2.

A belső adatvédelmi felelős a törvényen alapuló adatállományok esetén a bejelentésre irányuló előterjesztést az Egyesület elnökének jóváhagyásával jelenti be az adatvédelmi nyilvántartásba.

7. 3.

Az adatkezelésnek adatvédelmi nyilvántartási azonosító számát az adatok harmadik személy részére történő továbbításánál, nyilvánosságra hozatalánál és az érintettnek történő kiadásánál fel kell tüntetni.

7. 4.

Az Egyesületnek nem kell bejelentenie többek között azt az adatkezelést, amely

a) az adatkezelővel munkavégzésre irányuló jogviszonyban álló személyek adatait tartalmazza;

b) a foglalkozás-egészségügyi ellátásban kezelt személy betegségére, egészségi állapotára vonatkozó személyes adatokat tartalmaz, gyógykezelés, vagy az egészség megőrzése, társadalombiztosítási igény érvényesítése céljából;

c) az érintett anyagi és egyéb szociális támogatása céljából nyilvántartott személyes adatokra vonatkozik;

d) a vizsgálati, Egyesületi eljárás által érintett személyeknek az eljárás lefolytatásával kapcsolatos személyes adataira, vagy azzal összefüggésben kezelt személyes adatokra vonatkozik (ügyviteli célú adatkezelés);

e) a hivatalos statisztika célját szolgáló személyes adatokat tartalmaz, feltéve, hogy – törvényben meghatározottak szerint – az adatok érintettel való kapcsolatának megállapítását véglegesen lehetetlenné teszik;

f) tudományos kutatás céljait szolgálja, ha az adatokat nem hozzák nyilvánosságra;

g) levéltári őrzésre átadott iratokkal összefüggésben valósul meg.

7. 5.

A belső adatvédelmi nyilvántartásba bejelentett adatok változását, vagy az adatkezelés megszűnését az adatkezelésért felelős szervezeti egység vezetője nyolc napon belül köteles bejelenteni a belső adatvédelmi felelősének, aki ennek megfelelően módosítja az Egyesület belső adatvédelmi nyilvántartásának adatait, és ha szükséges kezdeményezi az Adatvédelmi Nyilvántartásban történő módosítását.

8. Az Egyesület perbeavatkozása körében végzett adatkezelések speciális szabályai

8. 1. Az Infotv. 22. § (4) bekezdése és 31. § (4) bekezdése alapján végzett tevékenysége során az adattakarékosság elvét szem előtt tartva az Egyesület kezeli az eljárásának célja szempontjából lényeges személyes adatokat, illetve – az arra vonatkozó törvényi feltételek fennállása esetén – a különleges adatokat is. Az adatkezelés minden adatfajta tekintetében törvényi rendelkezés alapján, a törvényi felhatalmazás keretein belül maradva történhet.

8. 2. Az Egyesület az iratokban rögzített személyes adatokat az iratok selejtezésére, illetve a nem selejtezhető iratok levéltárba adására az Egyesület Iratkezelési Szabályzatának függelékét képező Irattári tervben előírt ideig – az adatkezelés célhoz kötöttségére vonatkozó előírások megtartásával – kezeli.

9. Az Egyesület alkalmazottainak és a pályázók személyes adatainak kezelése

9. 1.

Az Egyesület a személyügyi nyilvántartásának adatkezelését nem kell bejelenteni az adatvédelmi nyilvántartásba.

9. 2.

A szakszervezeti vagy érdekképviseleti szervezeti tagságra utaló adat az érintett munkatárs írásbeli hozzájárulása alapján kezelhető. A munkáltató a szakszervezeti, vagy az érdek-képviseleti tagdíj átutalásához szükséges intézkedéseket csak abban az esetben teheti meg, ha a személyes adatok kezeléséhez a szakszervezet vagy az érdek-képviseleti szervezet az érintett tagok önkéntes és írásbeli beleegyezését beszerzi, és egy példányát a munkáltatónak megküldi.

9. 3.

Az Egyesület által kiírt pályázatokra beküldött jelentkezésekhez mellékelni kell a pályázóknak a személyes adatok kezeléséhez a pályázati anyaggal együtt megadott személyes hozzájárulását. A pályázat elbírálása után az eredménytelen pályázók személyes adatait tartalmazó adathordozókat a pályázónak – kérésére – 90 napon belül vissza kell küldeni, vagy a pályázónak a személyes adatai további pályázatok során történő felhasználására vonatkozó hozzájárulása hiányában meg kell semmisíteni. A megsemmisítésről (törlésről) jegyzőkönyvet kell felvenni.

9. 4. Az Egyesülethez bármilyen formában álláskeresési céllal (hirdetésre, spontán módon) eljuttatott önéletrajzokban lévő személyes adatok kezeléséhez az érintett hozzájárulását vélelmezni kell. Alkalmazás hiányában a személyes adatokat törölni kell.

10. A személyes adatokat tartalmazó igazgatási és gazdasági ügyek adatkezelése

10. 1. Az Egyesület a szervezet igazgatási tevékenysége keretében az alábbi ügycsoportokban kezelhet személyes adatokat:

a) Sajtóügyek:

aa) Elnök által tartott sajtótájékoztatók;

ab) egyéb sajtótájékoztatók, nyilvános események.

b) Nemzetközi ügyek:

ba) Az Egyesület vezetőinek, munkatársának utazásai;

bb) külföldi vendégek programjai;

bc) egyéni célú utazások;

bd) nemzetközi konferenciák;

be) protokolláris levelezések;

bf) európai és más nemzetközi pályázatok, projektek;

bg) útlevél- és vízumügyek.

c) Vegyes ügyek:

ca) tanfolyamok és szakmai konferenciák;

cb) vezetői, munkatársi ügykör átadás;

cc) elfogultsági bejelentések;

cd) titoktartási kötelezettség alóli felmentés;

ce) szakértői ügyek;

cf) panaszirodai ügyek;

cg) üdülési ügyek;

ch) az Egyesület működésére vonatkozó panaszok és közérdekű bejelentések;

ci) az Egyesület által kötött szerződések;

cj) rendezvények szervezése.

10. 2.

Az előző pontban felsorolt adatokat tartalmazó iratokat 15

év után lehet selejtezni.

10. 3.

A vizsgálati és egyesületi ügyekbe az ügy előadója, a felettese és az általa kijelölt munkatársak tekinthetnek be. Az érintett tájékoztatását – kérelmére – a szervezeti egység vezetője készíti elő és az elnök teljesíti.

10. 4.

Az Egyesület gazdasági nyilvántartásai közül az alábbiakban kezelhetnek személyes adatokat:

a) személyi anyagok, egészségbiztosítási ellátások nyilvántartása, magán-nyugdíjpénztári nyilvántartás, fizetési jegyzékek, járulék-nyilvántartások, melyek nem selejtezhetők;

b) számfejtési anyagok, bérfeladások, bérátutalások, statisztikai jelentések, szerszámlapok (lejárat után), munkaruha-nyilvántartások, melyek 10 év után selejtezhetők;

c) személyi jövedelemadó nyilvántartások, OEP elszámolások, adó- és járulékbevallások, kiküldetési rendelvények nyilvántartása, hivatali célra saját gépkocsi használat nyilvántartása, melyek 5 év után selejtezhetők.

10. 5.

Az előző pontokban írt ügyiratok adattartalmáról az érintettet a rendszeresen ismétlődő adatszolgáltatásokon kívül, kérelmére teljes körűen tájékoztatni kell.

11. Adatbiztonsági előírások

11. 1.

Az informatikai adatbiztonsági előírások részletes meghatározását külön szabályzat, míg az egyesületi iratok adatkezelési szabályait az Iratkezelési Szabályzat tartalmazza.

11. 2.

Az adatbiztonsági intézkedések meghatározása érdekében az Egyesület kezelésében lévő minden egyes adatállományt a szervezeti egység vezetője a védelmi igény szempontjából értékel, és a megfelelő biztonsági fokozatba sorol.

11. 3.

Az egyes adatkezelések biztonsági fokozatának megállapításához az adatok minősítésének figyelembevételén kívül elemezni kell:

a) az adatkezelésnek az adatkezelő szerv jogszabályban meghatározott feladatai végrehajtásában betöltött szerepét;

b) a kezelt személyes adatok jogosulatlan megismerésével, megváltoztatásával, törlésével, a hardver- és szoftvereszközök megrongálásával járó kockázatot és a várható kárt, figyelemmel arra, hogy az adatkezelés hiánya vagy az abban bekövetkezett sérülés milyen mértékben akadályozza az ügyészi szerv feladatainak teljesítését, ideértve a nemzetközi kapcsolatokból eredő kötelezettségek teljesítését is;

c) azt, hogy helyreállítható-e a sérült adatállomány, valamint az esetleges helyreállítás ráfordításait, a személyes adatok reprodukálásához szükséges adatforrások rendelkezésre állását, a manuális háttérnyilvántartásból az elveszített adatok pótlásának lehetőségét;

d) azt, hogy a kezelt személyes adatok jellegére tekintettel indokolt-e megkülönböztetett biztonsági előírásokat alkalmazni;

e) az adatbiztonságot veszélyeztető más kockázati elemeket;

f) azt, hogy a védelemhez szükséges feltételrendszer megteremtéséhez és fenntartásához biztosítottak-e a szükséges erőforrások.

12. Hatálybalépés

12. 1. Ez a szabályzat 2016. június hónap 28. napján lép hatályba.

Budapest, 2016. 06. 28.

Balogh Sándor

elnök