4/2018. (VIII. 28.) országos szabályrendelet
A Magyarországi Evangélikus Egyház adatvédelmi és adatbiztonsági szabályzatáról

I. A szabályzat által megvalósítandó célok

1. § Jelen szabályzat célja, hogy a Magyarországi Evangélikus Egyház (a továbbiakban: Egyház) az alábbiakban kifejtett tájékoztatások és adatvédelmi garanciák által biztosítsa az egyes adatkezeléseket végző szervezeti egységei által végzett adatkezelések átláthatóságát, jogszerűségét, és biztosítsa az adatkezelésben érintett személyek személyes adatok védelméhez való jogát, és ezen keresztül magánszférájuk és háborítatlan szabad vallásgyakorlásukhoz való jogukat.

2. § Jelen szabályzat kiemelten figyelembe veszi, hogy az Egyház feladatainak ellátása céljából különleges személyes adatokat is kezel. Ezen adatok bár az Egyházon belül viszonylag szélesebb körben ismertek, azonban jogosulatlan személyek azzal az érintett életét jelentősen befolyásolva visszaélhetnek. Ennek elkerülése jelen szabályzat kiemelt célja.

II. A szabályzat kapcsolata más jogi normákkal

3. § Jelen szabályzat alkalmazása során elsődleges jogforrás a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (2016. április 27.), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2012. évi CXII. törvény.

4. § Az Egyház és az országos iroda valamennyi adatkezelésre vonatkozó szabályzata a jelen szabályzatnak megfelelően fogadható el, illetőleg módosítható. Amennyiben jelen szabályzat hatálybalépésekor szükséges, a szabályrendeletet e szabályzatnak megfelelően felül kell vizsgálni.

III. A szabályzat hatálya

5. § Jelen szabályzat az Egyház alábbi szervezeti egységeire terjed ki:

1. a zsinat, az országos presbitérium, az országos elnökség, az egyház országos munkabizottságai személyes adatok kezelésével kapcsolatos döntéseire,
2. ezen intézmények által létrehozott szervezeti egységek, munkacsoportok, valamint ez alapján
3. az Egyház országos irodájának adatkezelésére, mely a fenti döntések végrehajtására hivatott.

6. § (1) Az Egyház személyes adatok kezelésére kialakított szervezeti egysége az országos iroda. Az iroda által kezelt személyes adatok tekintetében az adatkezelői jogokat és kötelezettségeket – különösen az érintett tájékoztatáskérési jogára – az országos iroda igazgatója gyakorolja.

(2) Az országos iroda címe, és elérhetőségei:

Székhely: 1085 Budapest, Üllői út 24.
Postai cím: 1450 Budapest, Pf. 21.
Vezetékes telefon: +36 1 483 2260, +36 1 483 2265
Flottás mobil: +36 20 824 4888
Fax: 486 3554
Email: orszagos@lutheran.hu

IV. Az Egyház által lefolytatott adatkezelések

7. § (1) Az Egyház által kezelt személyes adatok a következő adatkörönként csoportosíthatók:

1. evangélikus névtár,
2. lelkészi kartonok, lelkészigazolványok kiállításával kapcsolatos nyilvántartás,
3. Zelenka Pál Evangélikus Szolidaritási Alap nyilvántartása,
4. hitoktatók nyilvántartása,
5. kórházlelkészek, egyetemi, intézményi lelkészek nyilvántartása,
6. az egyházi (oktatási és diakóniai és egyéb) intézményvezetők nyilvántartása,
7. belső egyházi jogi személyek képviselőinek nyilvántartása,
8. nevelési-​oktatási és más köznevelési intézmények működésével, szakmai tevékenységével kapcsolatos, valamint diakóniai intézmények működésével, szakmai tevékenységével kapcsolatos eseti szakértői megbízásokra vonatkozó nyilvántartások,
9. az egyházi oktatási intézményekben történt kérdőíves felmérésekkel, kutatásokkal kapcsolatos adatkezelések,
10. gyülekezeti munkatársképző során kezelt személyes adatok,
11. az Egyház külpolitikai kapcsolatainak fenntartásával kapcsolatos adatkezelések,
12. az országos iroda építési, ingatlanrendezési és műemléki osztályára beérkezett tervdokumentációkban, szakvéleményekben foglalt adatok kezelése,
13. országos evangélikus ifjúsági táborok megszervezésével és megtartásával kapcsolatos adatkezelések,
14. pályázatok (ifjúsági pályázat, könnyűzenei pályázat, számítástechnikai eszköz pályázat stb.),
15. országos evangélikus hittanverseny megszervezésével kapcsolatos adatkezelések,
16. rendezvényekre meghívott fellépőkkel, közreműködőkkel, kivitelezőkkel kötendő szerződések,
17. az Egyház önkormányzati testületeinek, így különösen a zsinat, az országos presbitérium, az országos elnökség, valamint az országos munkaági és zsinati bizottságok, egyéb testületek döntés-​előkészítési, döntéshozatali, döntés-​végrehajtási tevékenységével összefüggő szervező és ügyviteli feladatok ellátásával kapcsolatos iratkezelések, melyek közül jellegük miatt külön nevesítendők:
    
    1. a Sztehlo Gábor-​ösztöndíj bizottság adatkezelése,
    2. az Andorka Eszter Program kuratóriumának adatkezelése,
18. az országos testületek jegyzőkönyveinek elkészítésével és azok mellékleteinek megőrzésével, valamint irattározásával kapcsolatos adatkezelések,
19. az Egyházon belül, országos szinten meghozott bírósági határozatok és valamennyi egyházi testületi döntés nyilvánosságra kerülését és annak indokolását az azt meghozóval való egyeztetést,
20. az Egyház intézményeinek fenntartói munkájával kapcsolatos adatkezelések ellátása, ezen belül elbírálja az országos fenntartású intézményekben hozott döntésekkel kapcsolatos kérelmeket, elvégzi az intézményvezetők teljesítményértékelését, vezeti az igazgatótanácsok nyilvántartását,
21. szűrővizsgálat az egyházi tisztviselők, lelkészek és az országos irodai alkalmazottak részére,
22. foglalkozás-​egészségügyi vizsgálat az Egyház, és az országos iroda alkalmazottainak,
23. az országos iroda munkavállalói, megbízottai, szolgálati jogviszonyban állók adatkezelései,
24. az Országos Iroda gazdasági működtetésével kapcsolatos adatkezelések,
25. az egyház külső pályázati és egyéb fejlesztésekkel kapcsolatos feladataihoz kapcsolódó adatkezelések,
26. országos egyházi képzésekkel kapcsolatos adatkezelések (MIR-​ben meghatározott belső képzések).

(2) A fenti adatkörökhöz kapcsolódó adatok körét, az adatkezelés jogalapját, célját, idejét, jelen szabályzat 1. számú melléklete határozza meg.

8. § Amennyiben az Egyházban meghatározott munkakör pályáztatása során a pályázó személy nem nyeri el az adott munkakört, azonban az eljárást lefolytató úgy dönt, hogy az érintett életrajzát, adatait egy később meghirdetett munkakör betöltéséhez elkülönített nyilvántartásban kívánja kezelni, az érintett hozzájárulása esetén vezetői státusz pályáztatása esetén öt évig, nem vezetői munkakör esetén e célból elkülönített nyilvántartásban két évig nyilvántarthatja. A nyilvántartást az országos iroda vezeti. Az érintett által megadott hozzájáruló nyilatkozatot a 2. számú melléklet tartalmazza.

9. § Az Egyház által szervezett rendezvényeken eseti jelleggel kép és hangfelvétel készül. A képfelvételeken elsődlegesen tömegjelenetek ábrázolhatók, egyes konkrét személyt a tömegből kiemelni akkor lehetséges, ha ahhoz az érintett előzetesen hozzájárult. Amennyiben a hozzájáruló nyilatkozathoz szükséges tájékoztatást a regisztráció során adják meg a résztvevők, a tájékoztatásnak részletesnek és a többi tájékoztatástól határozottan elkülönültnek kell lennie. Amennyiben a hozzájáruló nyilatkozat kiterjed arra is, hogy a készített fényképet nyilvánosságra hozzák (például az Egyház honlapján, a rendezvényről szóló tájékoztatóban), csak olyan kép hozható nyilvánosságra, mely az érintett személyiségi jogait más formában nem sértik.

V. Az adattovábbításra vonatkozó szabályok

10. § (1) A 7. §-ban meghatározott személyes adatok az Egyházon kívüli személy részére csak akkor továbbítható, ha ahhoz az érintett személy kifejezett, írásbeli hozzájárulását adta, vagy ha azt törvény elrendeli és az adatkezelés célja azt indokolja.

(2) Az adattovábbításokat elsődlegesen az érintett személyen keresztül kell megvalósítani, vagyis az adatokat, az azokat tartalmazó dokumentumot, elektronikus küldeményt az érintett számára kell továbbítani, aki az adatokat igénylő személy felé a tényleges adatátadást megteszi. E szabálytól csak konkrét törvényi rendelkezés esetében, vagy olyan adattovábbításokkor lehet eltekinteni, amikor az adatokat az Egyház egyházkormányzati testületeinek, részeinek, egyházi jogi személyeinek szükséges továbbítani, az érintett kérelmére, illetőleg az érintett által vállalt tisztség, egyéb státusz betöltéséhez szükséges igazolásul.

(3) Az Egyház tisztviselőinek adatait munkaügyi és adóügyi célból a törvényben adatkezelésre felhatalmazott állami szervezetek részére, a törvényben rögzített adatkör elejéig továbbítani kell.

11. § Amennyiben az Egyházmegye harmadik személy részére személyes adatokat ad át, a nyilvántartását (adattovábbítási nyilvántartás) olyan formában kell vezetnie, hogy az érintett az adattovábbításról utóbb tájékoztatást kérhessen. Az adatkezelést úgy kell megszervezni, hogy a tájékoztatást legalább húsz évig meg kell tudni adni az érintett részére. Amennyiben az adatok kezelésének ideje az 1. számú melléklet alapján húsz évnél rövidebb, az adattovábbításra vonatkozó adatokat elkülönítetten kell kezelni, és az érintett részére adandó tájékoztatás célján túl más célra nem használható fel.

VI. Az érintett tájékoztatása az újonnan létrejövő adatvédelmi jogviszonyról

12. § Amennyiben az Egyház valamely szervezeti egysége olyan jogviszonyt létesít, vagy új adatkezelési célból vesz nyilvántartásba személyes adatokat, illetőleg a már kezelésben lévő adatokat ilyen célból azokat tovább kezeli, az érintett személyt tájékoztatni kell különösen:

1. az adatkezelés jogalapjáról,
2. az adatkezelő személyéről és elérhetőségéről, illetőleg az adatvédelmi tisztviselő elérhetőségéről,
3. amennyiben nem az érintettől szerzik be az adatokat, az adatok forrásáról,
4. a kezelendő adatok köréről,
5. az adatkezelés céljáról,
6. amennyiben meghatározható, az adatkezelés időtartalmáról,
7. amennyiben a személyes adatokat harmadik személy részére továbbítják, annak személyéről,
8. amennyiben az adatkezelésben adatfeldolgozót vesznek igénybe, annak személyéről, illetőleg az adatkezeléssel kapcsolatos jogairól.

(2) Amennyiben tartalmilag és technikailag lehetséges a tájékoztatás, az megvalósulhat jelen szabályzatban meghatározott rendelkezésekre utalással is.

VII. Az érintettek jogai

13. § Az Egyház, mint adatkezelő esetében az adatok elsődleges forrása az érintett személy. Más forrásból akkor lehet személyes adatokat gyűjteni, ha ahhoz az érintett hozzájárult, vagy ha azt az adatvédelmi rendelet, illetőleg a nemzeti jogszabály elrendeli.

14. § (1) Az adatkezelésben érintett személyek saját adataikról tájékoztatást kérhetnek. A tájékoztatást indokolatlan késedelem nélkül, de legfeljebb egy hónapon belül kell az érintett részére megadni. A tájékoztatást az érintett számára az általa kért formában, szóban, írásban, a kezelt adatokról készült másolat útján, vagy elektronikusan kell megtenni. A tájékoztatás megadása ingyenes.

(2) Az érintett személy jogosult arra, hogy a következő információkról tájékoztatást kapjon:

1. az adatkezelés céljáról,
2. amennyiben lehetséges, a személyes adatok tárolásának időpontjáról,
3. a helyesbítés és amennyiben lehetséges a személyes adatok törlésének lehetőségéről és formájáról,
4. amennyiben adatfeldolgozót vettek igénybe, annak személyéről,
5. ha a személyes adatait továbbították, mely személyek részére történt és milyen jogalappal,
6. ha adatvédelmi incidens történt, annak körülményeiről, hatásáról, az elhárításra tett intézkedésekről,
7. arról, hogy esetleges panaszával mely hatósághoz nyújthat be panaszt, illetőleg
8. amennyiben az adatokat nem az érintettől gyűjtötték, az adatok forrásáról minden elérhető információról.

(3) A (2) bekezdés e) pontjában foglalt panasszal az érintett döntésétől függően fordulhat:

1. az országos iroda igazgatójához, az országos iroda igazgatója útján az adatkezelést megalapozó döntés meghozójához,
2. az országos iroda adatvédelmi tisztviselőjéhez,
3. a Nemzeti Adatvédelmi és Információszabadság Hatósághoz, valamint
4. az érintett lakóhelye szerint illetékes törvényszékhez.

15. § Ha az érintett észleli, hogy a kezelt személyes adata hibás, helyesbítését kérheti az országos iroda igazgatójától. Az érintett kérését, amennyiben az szükséges, indokolatlan késedelem nélkül át kell vezetni. A kérés elbírálásáig a személyes adatok kezelését korlátozni kell.

16. § (1) Amennyiben az érintett úgy látja, hogy a személyes adatok kezelése jogellenes, kérheti személyes adatainak törlését.

(2) Amennyiben az érintett személyes adatainak kezelése kizárólag a hozzájárulásán alapszik, és az adatok törlése az egyházkerület vallási feladatainak ellátását nem korlátozza , kérheti személyes adatainak törlését.

(3) Törlés helyett zárolni kell azokat a személyes adatokat, amelyek kezelésének megszűntetése az érintett személy személyiségi jogait sértik.

(4) Az érintett kérésének elbírálásáig a személyes adatok kezelését korlátozni kell.

17. § Amennyiben a személyes adatok kezelését korlátozni kell, azokat felhasználni csak az érintett személy hozzájárulásával lehet.

18. § Abból a célból, hogy az érintett személyes adatainak kezelését átláthassa, amennyiben az országos irodából személyes adatait harmadik személy részére továbbítják, az adattovábbításról tájékoztatást kell adni az érintett személynek. A tájékoztatás időtartamáról, vagy hogy mennyi ideig kell tudnia az adatkezelőnek adatot szolgáltatni az érintett részére, az adatvédelmi rendelet és a hatályos adatvédelmi törvény szabályai az irányadók.

VIII. Az országos iroda adatvédelmi tisztviselője

19. § (1) Az országos irodában a kezelt adatok védelme céljából adatvédelmi felelőst kell kinevezni. Az adatvédelmi felelősnek olyan személy nevezhető ki, aki a feladat ellátásával kapcsolatosan megfelelő gyakorlattal és szakértelemmel bír. E feladatkörrel olyan munkatárs is megbízható, akinek további munkaköre is van azzal, hogy az az adatvédelmi tisztviselői munkakörrel nem ütközhet, illetőleg nem fogadhat el e tekintetben olyan személytől utasítást, aki ilyen munkakört lát el. Az adatvédelmi tisztviselő feladatait az adatvédelmi rendelet határozza meg.

(2) Az országos iroda adatvédelmi felelőse, az Egyház egyházközségei, egyházmegyéi, egyházkerületei, illetőleg más intézményei megbízásából ellátja azok adatvédelmi tisztviselői feladatait is. E feladatkörök ellátása során tudomására jutott személyes adatok tekintetében titoktartási kötelezettség terheli, mely vonatkozik az országos iroda valamennyi alkalmazottjával szemben.

(3) Az országos iroda valamennyi szervezeti egységének kötelessége, hogy amennyiben az adatvédelmi tisztviselő feladatkörébe tartozó kérdéssel kell foglalkozniuk, kellő időben, és tartalommal jelzik azt részére. Az adatvédelmi tisztviselő a feladatkörébe tartozó ügyekben az érintett szervezet vezetője részére állásfoglalást ad, felelőssége azonban nem terjed ki az adatkezeléssel kapcsolatos döntésre.

(4) Az országos iroda érintett szervezetének minden esetben tájékoztatnia kell az adatvédelmi tisztviselőt arról, ha a szervezethez személyes adatokra vonatkozó adattovábbítási igény érkezik.

(5) Abban az esetben, ha az országos iroda adatkezelésében, illetőleg az Egyház más szervezeti egységében, önkormányzati testületében, intézményében olyan adatvédelmi kérdés merülne fel, melynek megválaszolása szükségessé teszi külső szakértővel vagy intézménnyel, így különösen a nemzeti adatvédelmi hatósággal történő konzultációt, az adatvédelmi tisztviselő ezt jelzi az országos iroda igazgatójának, és döntésétől függően előkészíti az erről szóló megkereső levelet. A levelet az országos iroda igazgatójának jóváhagyását követően megküldi.

(6) Abban az esetben, ha az országos irodát a nemzeti adatvédelmi hatóság megkeresi, az adatvédelmi felelős kapcsolattartói pontként együttműködik a hatósággal.

(7) Amennyiben az adatkezelőnél új adatkezelési technológiát vezetnek be, mely előtt hatásvizsgálatot kell elvégezni, abban az adatvédelmi tisztviselőnek részt kell vennie.

(8) Ha az adatkezelőnél adatvédelmi incidens történt, annak bejelentését a nemzeti adatvédelmi hatósághoz, illetőleg arról szóló tájékoztatóst az érintett személy számára az adatvédelmi tisztviselő végzi el.

(9) Az országos iroda adatvédelmi tisztviselőjének nevét és elérhetőségét az intézmény által üzemetetett honlapon közzé kell tenni.

IX. Adatbiztonságra vonatkozó szabályok

20. § (1) Az adatkezelőnél az általa kezelt személyes adatokat, azok szenzitív jellegére tekintettel megfelelő technikai és szervezési intézkedések érvényesítésével kell védelemben részesíteni.

(2) A technikai intézkedések során a következő követelményeket kell érvényesíteni:

1. Biztosítani kell, hogy az adatok – papír alapú, vagy digitális – hordozója megfelelő védelemben részesüljön. Így papír alapú nyilvántartás esetén, a papírokat elzárt helyiségben, zárható szekrényben kell elhelyezni. Digitális nyilvántartás esetén a számítógépet megfelelő jelszóval kell ellátni, és amennyiben lehetséges, a számítógépet nem lehet összekötni az internettel.
2. Fokozottan kell felügyelni, hogy a kezelt adatok ne vesszenek el, vagy jogellenesen ne módosuljanak.
3. Kiemelten biztosítani kell, hogy a kezelt személyes adatok ne kerülhessenek arra fel nem jogosított személy(ek) birtokába.
4. Biztosítani kell, hogy amennyiben az eredeti adathordozó megsérül, az adatok eredeti tartalmukban rekonstruálhatóak legyenek. Így digitális nyilvántartás esetén a nyilvántartásról heti vagy havi rendszerességgel kell másolatot készíteni.

(3) Szervezési intézkedéseken keresztül biztosítani kell, hogy az adatokhoz az egyházközség(ek) tisztviselői és dolgozói közül is csak az arra jogosult személy férhessen hozzá.

21. § (1) A 7. §-ban pontban ismertetett adatkezelések az országos iroda osztályai látják el. Az egyes osztályok vezetői felelősek azért, hogy a továbbiakban ismertetett adatbiztonsági szabályok az adott osztályon betartsák, és az adatokhoz illetéktelen személyek ne férhessenek hozzá.

(2) Az egyes osztályok a személyes adatokat akkor adhatják át más osztályoknak, ha az adatkezelés célja azt alátámasztja.

(3) Az országos iroda egyes osztályai a kezelésükben lévő személyes adatok tekintetében, az adatbiztonsági szabályok betartásáért önállóan felelősek. Más osztálynak, vagy az Egyház intézményeinek személyes adatot akkor adhatnak át, ha az ellátandó feladat céljának megvalósításához az szükséges.

22. § Amennyiben Egyháztól, vagy valamely intézményétől kér személyes adatot, akkor az adattovábbítás előtt meg kell győződni arról, hogy az adatok kezelésére valóban jogosult. Így az adatigénylését írásban kell megkérni, és abban az adatigénylés célját és jogalapját közérthető formában ki kell fejtenie. Ezt a követelményt állami szervek esetén is fokozottan érvényesíteni kell. Amennyiben kétség merülne fel az adatigénylés jogszerűségéről, azt meg kell tagadni, és tájékoztatni kell az adatigénylőt a kérés megtagadásának okáról, egyben fel kell kérni, hogy amennyiben lehetséges, az adatigénylését ismételten nyújtsa be, a megkívánt tartalommal.

23. § (1) Amennyiben az adatbiztonsági követelmények be nem tartásával a kezelt személyes adatok sérültek, megsemmisültek, elvesztek, megváltoztak, vagy jogosulatlan személy ahhoz hozzáfért, adatvédelmi incidens történt.

(2) Ha az adatvédelmi incidens nem jelent magas kockázatot az érintett jogaira nézve, a megtörtént eseményt nyilván kell tartani. Ennek keretében rögzíteni kell a keletkezett eseményt, és a megtett intézkedéseket.

(3) Amennyiben az adatvédelmi incidens magas kockázattal járt az érintett személy jogaira nézve, annak tudomására jutásától számított 72 órán belül be kell jelenteni a Nemzeti Adatvédelmi és Információszabadság Hatósághoz.

X. Záró rendelkezések

24. § Jelen szabályzat elfogadásával az országos presbitérium felhatalmazza az országos iroda igazgatóját, hogy amennyiben az adatok kezelésének célja elengedhetetlenné teszi, és az az adatkezeléssel járó jogkorlátozással arányban áll, az 1. sz. mellékletet önálló jogkörben kiadványozza, és amennyiben szükséges, a 1. számú mellékletben szereplő adatok körét módosítsa, melyről egyúttal tájékoztatja az országos presbitériumot.

25. § Amennyiben a 9. §-ban meghatározott adatkörökön túl, új adatkezelési célok miatt új adatkörök válnak szükségessé, az erre vonatkozó szabályzat módosításra vonatkozó indítványt az országos iroda igazgatóját a lehető leghamarabb benyújtja az országos presbitérium részére.

26. § Jelen szabályzat az elfogadásának napján lép hatályba. A szabályzat a helyben szokásos módon, az Evangélikus Közlönyben kerül közzétételre.

Budapest, 2018. június 28.

A Magyarországi Evangélikus Egyház adatvédelmi tisztviselője

• Adatvédelmi tisztviselő neve: Trifán Krisztina Csilla
• Adatvédelmi tisztviselő címe: 1085 Budapest, Üllői út 24.
• Adatvédelmi tisztviselő elérhetősége: adatvedelem@lutheran.hu 

4/2018. (VIII. 28.) országos szabályrendelet mellékletei

• 1. számú melléklet
• 2. számú melléklet

Adatvédelmi szabályzat minták