A Digitális Kormányzati Fejlesztés és Projektmenedzsment Korlátolt Felelősségű Társaság adatvédelmi alapelvei

A Digitális Kormányzati Fejlesztés és Projektmenedzsment Korlátolt Felelősségű Társaság (a továbbiakban „Adatkezelő”, vagy „Társaság”) elkötelezett az általa kezelt és feldolgozott személyes adatok kezelése során az érintettek jogainak és érdekeinek az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 RENDELETE a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet), (a továbbiakban: GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban Infotv.), valamint az ezekkel összhangban megalkotott ágazati jogszabályok személyes adatok kezelését szabályozó rendelkezéseinek érvényesítése iránt.

Ennek érdekében a kezelt személyes adatok vonatkozásában megfelelő technikai és szervezési intézkedésekkel kialakítja és biztosítja a személyes adatok kockázatokkal arányos, a mindenkori technikai fejlettségi szintjéhez igazodó védelmét, valamint biztosítja az érintett természetes személyek GDPR 15-22. cikkében szereplő jogaik érvényesítésének garanciáit.

Az adatvédelem megfelelő szintjének biztosítása érdekében a Társaság adatvédelmi tisztviselőt alkalmaz.

Adatvédelmi tisztviselő neve: dr. Kunhegyi Mária

Adatvédelmi tisztviselő elérhetősége: adatvedelem@dkfkft.hu

I. A Társaság adatkezelésének alapelvei

A Társaság a tevékenysége során biztosítani kívánja a nyilvántartásai működésének törvényes rendjét, az adatvédelem alkotmányos elveinek, az adatbiztonság követelményeinek érvényesülését, meg kívánja akadályozni az adatokhoz való jogosulatlan hozzáférést, és azok jogosulatlan megváltoztatását, illetve nyilvánosságra hozatalát. Ezért az Érintett személyes adatokhoz fűződő jogának biztosítása céljából tevékenysége során a személyes adatokat az alábbi adatvédelmi alapelveket mentén kezeli:

1) Társaság a személyes adatokat jogszerűen és tisztességesen, valamint az Érintett számára átlátható módon kezeli.

Ezért a Társaság személyes adatot, mint adatkezelő, akkor kezel, ha

• az Érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez, vagy
• az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az Érintett az egyik fél, vagy az a szerződés megkötését megelőzően az Érintett kérésére történő lépések megtételéhez szükséges, vagy
• a Társaság jogi kötelezettségének teljesítése érdekében szükséges, vagy
• az adatkezelés az Érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges, vagy
• az adatkezelés közérdekű vagy az Adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzettfeladat végrehajtásához szükséges, vagy
• az adatkezelés a Társaság vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az Érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az Érintett gyermek.

Annak érdekében, hogy a Társaság adatkezelési tevékenysége, adatkezelés folyamata, dokumentáltsága megismerhető, az Érintettek számára átlátható legyen a Társaság az egyes konkrét adatkezelési tevékenységéről külön szövegezett adatkezelési tájékoztatókat készít és tesz közzé honlapján az Érintettek számára is hozzáférhető módon.

2) A Társaság személyes adatokat csak meghatározott, egyértelmű, jogszerű célhoz kötötten kezel.

A célhoz kötöttség alapelvének betartása érdekében a Társaságnál bevezetésre került az ún. beépített adatvédelem (privacy by design), melynek következtében a Társaság már az adatkezelés tényleges megkezdése előtt – például már a projektelőkészítés időszakában – is figyelemmel van a GDPR előírásaira. A beépített adatvédelem a Társaság olyan saját belső eljárásainak az összessége, amivel – a külső szabályozásoktól függetlenül is – igyekszik megfelelni annak, hogy az Érintett magánszféráját minél jobban védje és már az adatkezelés megkezdése előtt meghatározott célok szerint történjen az adatkezelés, továbbá az adatkezelés minden szakaszában megfeleljen az adatkezelés céljának – és amennyiben az adatkezelés célja megszűnt, vagy az adatok kezelése egyébként jogellenes, az adatok törlésre kerüljenek.

3) A Társaság csak az adatkezelés célja szempontjából megfelelő és releváns személyes adatokat kezel a szükséges mértékben (adattakarékosság elve).

A Társaság kizárólag csak annyi és olyan személyes adatot kezel, ami szükséges és egyben elégséges az adatkezelés céljának eléréséhez.

4) A Társaság minden észszerű intézkedést megtesz a személyes adatok pontossága és naprakészsége, illetve annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul törölje vagy helyesbítse.

5) A Társaság a személyes adatokat olyan formában tárolja, amely az Érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé, biztosítva a korlátozott tárolhatóságot.

6) A Társaság biztosítja a személyes adatok kezelése során azok integritását és bizalmas jellegét.

Ezen alapelv biztosítása céljából a Társaság megfelelő technikai és szervezési intézkedéseket tesz az adatbiztonság érdekében, azaz a személyes adatok kezelése során védi azokat a jogosulatlan vagy jogellenes kezeléstől, a véletlen elvesztéstől, a megsemmisítéstől vagy károsodástól.

7) A Társaság a személyes adatok kezelését az elszámoltathatóság alapelvének megfelelően úgy végzi, hogy képes legyen igazolni, hogy a fenti alapelveknek megfelel.

Az Adatkezelési Tájékoztató alapelvek részének ismertetése elsősorban az átlátható adatkezelés alapelvét szolgálja; a fenti alapelvek érvényesülését a Társaság belső szabályzatai, utasításai biztosítják.

II. Meddig kezeli a Társaság a személyes adatokat?

A Társaság személyes adatot az adatkezelés alapelveinek érvényesülése érdekében csak az adatkezelési célok eléréséhez, vagy jogszabályban előírt, illetve jogi kötelezettségnek való megfeleléshez szükséges ideig kezeli, és a személyes adatokat az adatkezelés céljának megvalósulásával, vagy a jogszabályban előírt tárolási kötelezettség megszűntével főszabály szerint törli, vagy anonimizálja.

A Társaság azokban a GDPR -ban meghatározott esetkörökben, amikor a személyes adatok kezelése mások alapvető jogainak és szabadságainak gyakorlásához, kötelező adatkezelés alapján fennálló kötelezettség teljesítéséhez, illetve egyéb jogos köz- vagy magánérdek érvényesítéséhez, védelméhez szükséges, a személyes adatot nem törli.

Az egyes konkrét tevékenységekhez, adatkezelési célokhoz tartozó adattárolási időtartamra vonatkozóan a Társaság az adott adatkezelési tájékoztatóban nyújt részletesebb tájékoztatást.

III. Adatvédelmi és adatbiztonsági szabályzat

A Társaság működésének adatvédelmi szabályait Adatvédelmi szabályzatban rendezi, melynek hatályos változata elérhető honlapján.

IV. Milyen intézkedések tesz a Társaság adatai biztonsága érdekében?

A papíralapon kezelt adatok biztonsága

A papíralapon kezelt személyes adatok biztonsága érdekében a Társaság az alábbi intézkedéseket alkalmazza:

• a személyes adatokat csak azon személyek részére teszi hozzáférhetővé, akiknek a személyes adatot tartalmazó dokumentum, irat felhasználása a feladata ellátáshoz szükséges, és csak olyan mértékben, amely az adott feladat ellátásához feltétlenül szükséges;
• a személyes adatokat tartalmazó dokumentumokat, iratokat zárható, száraz, tűzvédelemmel ellátott helyiségben helyezi el;
• a munkavégzés befejeztével a papíralapú adathordozók elzárásra kerülnek;
• amennyiben a papíralapon kezelt személyes adatok digitalizálásra kerülnek, a digitálisan tárolt dokumentumokra irányadó biztonsági szabályokat alkalmazza a Társaság.

Amennyiben a papíralapon tárolt személyes adat kezelésének célja megvalósult, és nincs más jogalap az adatkezelésre vonatkozóan, vagy jogszabályi kötelezettség alapján nem kell az iratot tovább őrizni, 3úgy a Társaság intézkedik a papír, vagy amennyiben a személyes adatok adathordozója nem papír, hanem más fizikai eszköz, úgy a fizikai eszköz megsemmisítéséről.

Elektronikus információs rendszerben kezelt személyes adatok biztonsága

A Társaság rendelkezik:

• információbiztonsági felelőssel, aki ellátja az elektronikus információs rendszer biztonságáért felelős személy az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény (Ibtv.) szerinti feladatait, továbbá, aki a DKF információbiztonsági irányítási rendszerében végzett összefogó operatív tevékenységek végrehajtója.

A Társaság az elektronikus formában rögzített személyes adatok kezeléséhez az alkalmazott informatikai eszközöket úgy üzemelteti, hogy a kezelt adat:

• csak az arra feljogosítottak számára legyen hozzáférhető (rendelkezésre állás);
• hitelessége és hitelesítése biztosított (adatkezelés hitelessége);
• változatlansága igazolható legyen (adatintegritás);
• a jogosulatlan hozzáférés ellen védett legyen (adat bizalmassága).

A Társaság az elektronikus formában nyilvántartott személyes adatok tárolásához egyes esetekben adatfeldolgozót vesz igénybe, ilyen esetben megbizonyosodik arról, hogy az igénybe vett szolgáltató biztosítja az adatkezelés megfelelő garanciáit.

A számítógépen, illetve hálózaton tárolt személyes adatok biztonsága érdekében a Társaság az alábbi intézkedéseket és garanciális elemeket alkalmazza:

• az adatkezelés során használt számítógépek a Társaság tulajdonát képezik, vagy azok fölött tulajdonosi jogkörrel megegyező joggal bír;
• a számítógépen, és a hálózaton található adatokhoz csak érvényes, személyre szóló, azonosítható jogosultsággal – legalább felhasználói névvel és jelszóval – lehet csak hozzáférni, a jelszavak cseréjéről Társaság rendszeresen, illetve indokolt esetben gondoskodik;
• az adatokkal történő minden számítógépes rekord nyomon követhetően naplózásra kerül;
• a hálózati kiszolgáló gépen (a továbbiakban: szerver) tárolt adatokhoz csak megfelelő jogosultsággal és csakis az arra kijelölt személyek férhetnek hozzá;
• amennyiben az adatkezelés célja megvalósult, az adatkezelés határideje letelt, úgy az adatot tartalmazó fájl visszaállíthatatlanul törlésre kerül, az adat újra vissza nem nyerhető;
• a Társaság a hálózaton tárolt adatok biztonsága érdekében a szervereket magas rendelkezésre állású infrastruktúrával védi, az adatvesztést biztonsági mentésekkel akadályozza meg;
• a személyes adatokat kezelő hálózaton a vírusvédelemről folyamatosan gondoskodik;
• a rendelkezésre álló számítástechnikai eszközökkel, azok alkalmazásával megakadályozza illetéktelen személyek hálózati hozzáférését.

V. Adatvédelmi incidensek kezelése

Az adatvédelmi incidenst a Társaság indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb az adatvédelmi incidens a tudomására jutásától számított 72 órán belül bejelenti a GDPR 55. cikk alapján a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (illetékes felügyeleti hatóság), kivéve, ha 4az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve.

Amennyiben az incidens valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve, a Társaság az adatvédelmi incidensjellegéről, valószínűsíthető következményeiről, valamint az orvoslásra tett vagy tervezett intézkedésekről– indokolatlan késedelem nélkül, írásban tájékoztatja az Érintettet.

Nem tájékoztatja a Társaság az adatvédelmi incidensről az Érintettet, ha:

• a Társaság olyan technikai, szervezési, védelmi intézkedéseket hajtott végre az Érintett adatokra vonatkozóan, amelyek megakadályozzák az illetéktelen személyek számára való hozzáférést az adatokhoz vagy megakadályozzák az adatok értelmezhetőségét;
• az adatvédelmi incidens bekövetkezését követően a Társaság olyan intézkedéseket tett, amelyek biztosítják, hogy a feltárt adatkezelési kockázat valószínűsíthetően nem valósul meg;
• a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ebben az esetben az Érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, mely tájékoztatás elektronikus úton is megtörténhet;

Az adatvédelmi incidensről a Társaság adatvédelmi tisztviselője az adatvédelmi incidenssel kapcsolatos intézkedések megtétele és ellenőrzése céljából nyilvántartást vezet.

VI. Automatizált döntéshozatal és profilalkotás

A Társaság tájékoztatja az Érintetteket, hogy az Érintett kifejezett és írásos hozzájárulása nélkül automatizált döntéshozatalt (ideértve a profilalkotást is) egyedi ügyben nem alkalmaz.

VII. Az érintettek jogai érvényesítésének elősegítése

A Társaság az Érintettek GDPR 15-22. cikke szerinti jogaik érvényesítésének elősegítésére közzétett tájékoztatója elérhető a honlapján.