Adatvédelmi és adatbiztonsági szabályzat
KP/12481-1/2025.
1/2025. JEGYZŐI UTASÍTÁS
A KOMÁROMI POLGÁRMESTERI HIVATAL
ADATVÉDELMI ÉS ADATBIZTONSÁGI
SZABÁLYZATA
2025.
1
Adatvédelmi és adatbiztonsági szabályzat
A
Komáromi Polgármesteri Hivatal (a továbbiakban: Hivatal, vagy Adatkezelő) belső
adatkezelési folyamatainak nyilvántartása és az érintettek jogainak biztosítása céljából az alábbi
általános Adatvédelmi Szabályzatot és Tájékoztatót (a továbbiakban: szabályzat) alkotja.
Általános rész
Adatkezelő
neve:
Komáromi Polgármesteri Hivatal
székhelye:
2900 Komárom, Szabadság tér 1.
e-elérhetősége:
[email protected]
képviselője:
dr. Baksa-Ströcker Renáta jegyző
Jelen rendelkezéseket a Hivatal többi szabályzatának előírásaival összhangban kell értelmezni.
Amennyiben a személyes adatok védelmével kapcsolatosan ellentmondás áll fenn jelen
rendelkezések és bármely más, jelen szabályzat hatálybalépése előtt hatályba lépett szabályzat
előírásai között, úgy abban az esetben jelen rendelkezések az irányadók.
Jelen szabályzat általános része alapvetően általános adatvédelmi rendelkezéseket és
információkat tartalmaz. Az egyes speciális tevékenységekhez kapcsolódó adatkezelések
tekintetében alkalmazandó egyedi szabályokat jelen Szabályzat mellékleteiben elhelyezett
adatvédelmi tájékoztatások tartalmazzák.
Jelen szabályzatban használt rövidítések az adott adatkezelés vonatkozásában alkalmazandó,
hatályos jogszabályokban szereplő rövidítéseknek megfelelően kerültek rögzítésre.
1. A szabályzat célja és hatálya
A Hivatal jelen szabályzat megalkotásával és elérhetővé tételével biztosítani kívánja az
információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény
(a továbbiakban: Infotv.) 15. §-ában meghatározott érintetti tájékoztatáshoz való jog
megvalósulását.
A szabályzat tárgyi hatálya kiterjed a Hivatal minden szervezeti egységénél folytatott
valamennyi olyan folyamatra, amely során az Infotv. 3. § 2. pontjában meghatározott személyes
adat kezelése megvalósul.
A szabályzat személyi hatálya kiterjed a Hivatal minden foglalkoztatottjára.
A szabályzat tárgyi hatálya kiterjed – az adatkezelési módszertől függetlenül – a Hivatalban
folyó valamennyi ügyintézési és ügyirat-kezelési eljárásra, valamint az Önkormányzat
személyes adatkezeléseire.
Jelen szabályzatot a polgármester és a jegyző együttes utasításával kell kihirdetni és a Hivatal
közös meghajtóján megjeleníteni, valamint az Infotv-ben foglaltak szerint a Hivatal honlapján
közzétenni.
A szabályzat eredeti időbeli hatálya 2017. december 1. Az esetleges módosítások minden
esetben egységes szerkezetben kerülnek kihirdetésre úgy, hogy a módosított Szabályzat időbeli
hatálya feltűntetésre kerül.
2
Adatvédelmi és adatbiztonsági szabályzat
2. Fogalmak
A jelen szabályzat fogalmi rendszere megegyezik az Infotv.-ben és
Az Európai Parlament és
a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a
személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad
áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános
adatvédelmi
rendeletben
(a
továbbiakban:
GDPR)
meghatározott
értelmező
fogalommagyarázatokkal. A fogalommagyarázatok az alábbi linkeken megtalálhatók:
-
Infotv:
https://net.jogtar.hu/jogszabaly?docid=a1100112.tv
-
GDPR:
https://eur-lex.europa.eu/legal-content/HU/TXT/?uri=celex%3A32016R0679
3. Az adatkezelések általános szabályai
Személyes adat kezelésére csak jog gyakorlása vagy kötelezettség teljesítése érdekében van
lehetőség. A Hivatal által kezelt személyes adatok magáncélra való felhasználása tilos. Az
adatkezelésnek mindenkor meg kell felelnie a célhoz kötöttség alapelvének.
A Hivatal személyes adatot csak meghatározott célból, jog gyakorlása és kötelezettség
teljesítése érdekében kezel, a cél eléréséhez szükséges minimális mértékben és ideig. Az
adatkezelés minden szakaszában meg kell felelnie a célnak – és amennyiben az adatkezelés
célja megszűnt, vagy az adatok kezelése egyébként jogellenes, az adatok törlésre kerülnek.
A Hivatal személyes adatot csak az Infotv-ben, illetve a Rendeletben meghatározott jogalapok
valamelyikének fennállása alapján kezel.
A Hivatal jegyzője az adatvédelmi tisztviselő útján az adatvédelmi incidenssel kapcsolatos
intézkedések ellenőrzése, valamint az érintettek tájékoztatása céljából nyilvántartást vezet
(Incidensnyilvántartás). Ez tartalmazza az érintett személyes adatok körét, az adatvédelmi
incidenssel érintettek körét és számát, az adatvédelmi incidens időpontját, körülményeit,
hatásait és az elhárítására megtett intézkedéseket, valamint az adatkezelést előíró jogszabályban
meghatározott egyéb adatokat. A bekövetkezett adatvédelmi incidensről a Hivatal az
adatvédelmi incidenssel érintett szervezeteket, személyeket értesíti.
A Hivatal megbízásából adatfeldolgozói tevékenységet végző természetes, vagy jogi
személyekre, illetve jogi személyiséggel nem rendelkező szervezetekre vonatkozó adatvédelmi
kötelezettségek az adatfeldolgozóval kötött megbízási szerződésben érvényesítendők.
3.1. Adatvédelmi incidens kezelése
3.1.1. Adatvédelmi incidens észlelése és jelentése
A Hivatal minden foglalkoztatottja köteles a Hivatalon belül történt adatvédelmi incidenst –
illetve ennek gyanúját is - haladéktalanul jelenteni a szervezeti egysége vezetőjének, valamint
3
Adatvédelmi és adatbiztonsági szabályzat
az adatvédelmi tisztviselőnek. A bejelentés tartalmazza a bejelentő nevét, telefonszámát,
beosztását, szervezeti egységének megnevezését, valamint az incidens tárgyát, rövid leírását és
azt, hogy az incidens érinti-e a Hivatal informatikai rendszerét.
Amennyiben az adatvédelmi incidens érinti a Hivatal informatikai rendszerét is, akkor a
bejelentést a vezető informatikusnak is meg kell küldeni.
Az adatvédelmi tisztviselő a bejelentés kézhezvételét követően haladéktalanul megkezdi az
adatvédelmi incidens kivizsgálását és értékelését.
adatvédelmi tisztviselő elérhetőségei:
név: Dr. Lórodi László
email cím:
[email protected]
3.1.2. Adatvédelmi incidens kivizsgálása, értékelése
Az adatvédelmi tisztviselő – informatikai rendszert érintő incidens esetén a vezető
informatikussal együttműködve – megvizsgálja a bejelentést és amennyiben szükséges a
bejelentőtől további adatokat kér az incidensre vonatkozóan. Az adatvédelmi tisztviselő
felhívására a bejelentő köteles megadni: az adatvédelmi incidens bekövetkezésének időpontját
és helyét, az adatvédelmi incidens egyéb körülményeit, az adatvédelmi incidens által érintett
adatok körét, mennyiségét, az adatvédelmi incidenssel érintett személyek körét és számát, az
adatvédelmi incidens várható hatásait, az adatvédelmi incidens megelőzésére,
következményeinek enyhítésére megtett intézkedések felsorolását.
A bejelentő az adatszolgáltatást haladéktalanul, de legkésőbb 1 munkanapon belül teljesíti az
adatvédelmi tisztviselő részére.
Amennyiben az adatvédelmi incidens értékelése vizsgálatot igényel az adatvédelmi tisztviselő
a vezető informatikussal, valamint egyéb, a vizsgálat lefolytatásához szükséges munkatársak
bevonásával lefolytatja a vizsgálatot.
A vizsgálatnak tartalmaznia kell, hogy az adatvédelmi incidens magas kockázattal jár-e az
érintettek jogaira és kötelezettségeire, milyen jellegű kockázatról van szó és szükséges-e az
érintettek tájékoztatása az incidensről. Amennyiben nem szükséges az érintettek tájékoztatása,
a vizsgálatnak tartalmazni kell ennek indokait is.
A vizsgálat eredményeként az adatvédelmi tisztviselő javaslatot tesz az adatvédelmi incidenssel
érintett szervezeti egység vezetőjének az incidens kezeléshez szükséges intézkedések
megtételére.
A javaslat alapján a megvalósítandó további intézkedésekről az adatok kezelését vagy
feldolgozását végző szakterület vezetője – informatikai rendszerben bekövetkezett adatvédelmi
incidens esetében- az informatikai vezető egyetértésével dönt.
A vizsgálatot legkésőbb az adatvédelmi tisztviselőhöz érkezéstől számított három munkanapon
belül be kell fejezni és a vizsgálat eredményéről a Hivatal jegyzőjét az adatvédelmi tisztviselő
tájékoztatja
4
Adatvédelmi és adatbiztonsági szabályzat
3.1.3. Adatvédelmi incidens nyilvántartása
A nyilvántartás tartalmazza:
- az érintett személyes adatok körét,
- az adatvédelmi incidenssel érintettek körét és számát,
- az adatvédelmi incidens időpontját,
- az adatvédelmi incidens körülményeit,
- hatásait,
- az elhárítására megtett intézkedéseket és
- egyéb jogszabályban előírt adatokat.
Az adatvédelmi incidens-nyilvántartás pontos vezetéséről, aktualizálásáról az adatvédelmi
tisztviselő gondoskodik.
3.1.4. Adatvédelmi
incidens
bejelentése
a
Nemzeti
Adatvédelmi
és
Információszabadság Hatóság (a továbbiakban: Hatóság) részére
Az adatvédelmi tisztviselő az adatvédelmi incidenst a bekövetkezését követően haladéktalanul,
de legkésőbb az incidens bekövetkezésétől számított 72 órán belül bejelenti a Hatóság részére,
kivéve, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira
és szabadságaira nézve. Ha a bejelentés nem történik meg határidőben, az adatvédelmi
tisztviselő köteles ennek okát igazolni a Hatóság részére.
A Hatósági bejelentésnek tartalmaznia kell:
- az adatvédelmi incidenssel érintett adatok körét és hozzávetőleges számát,
- az adatvédelmi incidenssel érintett személyek körét és hozzávetőleges számát,
- az adatvédelmi incidens jellegét, körülményeit,
- az adatvédelmi tisztviselő nevét és elérhetőségét,
- az adatvédelmi incidens valószínűsíthető következményeit és
- az adatvédelmi incidens orvoslására és enyhítésére megtett intézkedéseket.
3.1.5. Az érintettek tájékoztatása az adatvédelmi incidensről
Ha a vizsgálat eredményeként megállapítást nyert, hogy az adatvédelmi incidens
valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira
nézve és az érintettek tájékoztatása szükséges, az adatvédelmi tisztviselő haladéktalanul értesíti
az érintetteket és erről a jegyzőt is értesíti.
Nem kell az érintetteket tájékoztatni:
- ha a Hivatal olyan technikai, szervezési, védelmi intézkedéseket hajtott végre az érintett
adatokra vonatkozóan, amelyek megakadályozzák az illetéktelen személyek számára
való hozzáférést az adatokhoz vagy megakadályozzák az adatok értelmezhetőségét.
- ha az adatvédelmi incidens bekövetkezését követően a Hivatal olyan intézkedéseket tett,
amelyek biztosítják, hogy a feltárt adatkezelési kockázat valószínűsíthetően nem
valósul meg.
5
Adatvédelmi és adatbiztonsági szabályzat
- ha a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ebben az esetben az
érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, mely tájékoztatás
elektronikus úton is megtörténhet.
3.2. Rendszeres oktatások
Az adatvédelmi tisztviselő gondoskodik az adatvédelmi tudatosság növelése céljából személyes
adatok védelmével kapcsolatos oktatásról, mely során a múltban bekövetkezett adatvédelmi
incidensek tapasztalatait, vagy a lehetséges adatvédelmi incidensek veszélyeit ismerteti, elemzi,
a kockázatok csökkentésével, megelőzésével kapcsolatosan tájékoztatást ad, illetve az
ismereteket ellenőrzi.
3.3.Hatásvizsgálat
Amennyiben valamely új adatkezelési folyamat – annak jellegére, hatókörére, körülményeire,
céljaira tekintettel - valószínűsíthetően magas kockázattal jár a természetes személyek jogaira
és szabadságaira nézve, akkor az adatkezelés megkezdését megelőzően a Hivatal
hatásvizsgálatot folytat le arra vonatkozóan, hogy az adatkezelési folyamat a személyes adatok
védelmét hogyan érinti. Egymáshoz hasonló adatkezelési műveletek, amelyek hasonló
kockázatokat jelentenek egyetlen egy hatásvizsgálat keretében is elvégezhetők.
3.4.Érdekmérlegelés
Az Infotv. rendelkezései szerint lehetőség van hozzájárulás nélküli adatkezelésre, ha ezt
valamilyen jogos érdek lehetővé teszi, feltéve, hogy az Adatkezelő eleget tesz tájékoztatási
kötelezettségének. Az adatkezelés jogalapjának vizsgálata során a GDPR 6. cikk (1) bekezdése
a)-f) pontjai az irányadók.
Amennyiben a jogalapot a GDPR 6. cikk (1) bekezdés f) pontja jelenti, az adatkezelési folyamat
akkor és annyiban lesz jogszerű, amennyiben az adatkezelés az adatkezelő vagy egy harmadik
fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben
elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek
személyes adatok védelmét teszik szükségessé.
Az adatkezelés jogszerűségének vizsgálatához a Hivatal elvégez egy érdekmérlegelési tesztet,
mely során az adatkezelés céljának szükségességét és az érintettek jogainak és szabadságainak
arányos mértékű korlátozását vizsgálja és megfelelően alátámasztja.
4. Az érintettek jogainak érvényesítése
Az érintett tájékoztatást kérhet személyes adatai kezeléséről, valamint kérheti személyes
adatainak helyesbítését, illetve – a jogszabályban elrendelt adatkezelések kivételével – törlését
a Hivatal feltüntetett elérhetőségein.
Az érintett jogosult arra, hogy a rá vonatkozó, általa az Adatkezelő rendelkezésére bocsátott
személyes adatokat tagolt, széles körben használt, géppel olvasható formában megkapja,
továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa.
6
Adatvédelmi és adatbiztonsági szabályzat
A Hivatal a beérkezett kérelmet, illetve tiltakozást köteles a beérkezéstől számított három
munkanapon belül áttenni az adatkezelés szempontjából feladat- és hatáskörrel rendelkező
szervezeti egység vezetőjéhez.
A feladat- és hatáskörrel rendelkező szervezeti egység vezetője az érintett személyes adatának
kezelésével összefüggő kérelmére az érkezésétől számított legkésőbb 25 – tiltakozási jog
gyakorlása esetén 15 – napon belül írásban, közérthető formában választ ad.
A tájékoztatás kiterjed az Infotv. 15. § (1) bekezdésében meghatározott információkra,
amennyiben az érintett tájékoztatása törvény alapján nem tagadható meg.
A tájékoztatás főszabály szerint ingyenes, költségtérítést a Hivatal csak az Infotv. 15. § (5)
bekezdésében meghatározott esetben számít fel.
A Hivatal kérelmet csak az Infotv. 9. § (1) bekezdésében vagy a 19. §-ában meghatározott
okokból utasít el, erre csak indoklással, az Infotv. 16. § (2) bekezdésében meghatározott
tájékoztatással, írásban kerül sor.
A valóságnak nem megfelelő adatot az adatot kezelő szervezeti egység vezetője – amennyiben
a szükséges adatok és az azokat bizonyító közokiratok rendelkezésre állnak – helyesbíti, az
Infotv. 17. § (2) bekezdésében meghatározott okok fennállása esetén intézkedik a kezelt
személyes adat törlése iránt.
Az érintett személyes adata kezelése elleni tiltakozásának elbírálásának időtartamára – de
legfeljebb 5 napra – az adatkezelést az adatkezelést végző szervezeti egység vezetője
felfüggeszti, a tiltakozás megalapozottságát megvizsgálja és döntést hoz, amelyről a kérelmezőt
az Infotv. 21. § (2) bekezdésében foglaltak szerint tájékoztatja.
Amennyiben a tiltakozás indokolt, az adatot kezelő szervezeti egység vezetője az Infotv. 21. §
(3) bekezdésében meghatározottak szerint jár el.
Amennyiben az érintett jogainak gyakorlása során az ügy megítélése nem egyértelmű, az adatot
kezelő szervezeti egység vezetője az ügy iratainak és az ügyre vonatkozó álláspontjának
megküldésével állásfoglalást kérhet az adatvédelmi tisztviselőtől, aki azt három munkanapon
belül teljesíti.
A Hivatal az érintett adatainak jogellenes kezelésével vagy az adatbiztonság követelményeinek
megszegésével másnak okozott kárt, illetve az általa vagy az általa igénybe vett adatfeldolgozó
által okozott személyiségi jogsértés esetén járó sérelemdíjat is megtéríti. Az Adatkezelő
mentesül az okozott kárért való felelősség és a sérelemdíj megfizetésének kötelezettsége alól,
ha bizonyítja, hogy a kárt vagy az érintett személyiségi jogának sérelmét az adatkezelés körén
kívül eső elháríthatatlan ok idézte elő. Ugyanígy nem téríti meg a kárt, amennyiben az a károsult
szándékos vagy súlyosan gondatlan magatartásából származott.
Az érintett jogorvoslati lehetőséggel, panasszal a Nemzeti Adatvédelmi és
Információszabadság Hatóságnál (1055 Budapest, Falk Miksa u. 9-11,) vagy lakóhelye vagy
tartózkodási helye szerint illetékes törvényszéknél élhet.
7
Adatvédelmi és adatbiztonsági szabályzat
5. A Hivatalnál megvalósuló adatkezelésekre vonatkozó egyéb
információk
Az adatkezelések helye:
A Hivatal székhelye:
2900 Komárom, Szabadság tér 1.
A Hivatal kirendeltsége:
2921 Komárom, Hősök tere 1.
Adatfeldolgozás, adattovábbítás:
Az adott adatkezelésekhez kapcsolódó adatfeldolgozókat és az adattovábbítások címzettjeit a
Szabályzat adott adatkezelésre irányadó függelékei tartalmazzák.
6. Hatálybalépés
Jelen szabályzat 2025. április 1. napján lép hatályba.
Komárom, 2025. március 31.
dr. Baksa-Ströcker Renáta
jegyző
8
Adatvédelmi és adatbiztonsági szabályzat
1. melléklet
Megismerési nyilatkozat
Az Adatvédelmi és adatbiztonsági szabályzatban foglaltakat megismertem. Tudomásul veszem,
hogy az abban foglaltakat a munkavégzésem során köteles vagyok betartani.
Név
Beosztás
Kelt
Aláírás
9
