Adatkezelési tájékoztató

ADATKEZELÉSI TÁJÉKOZTATÓ

A Nemzeti Kiberbiztonsági Intézet honlapjának adatkezeléséről

1. Adatkezelő

Adatkezelő: Nemzetbiztonsági Szakszolgálat (NBSZ)

Postacím: 1399 Budapest 62. Pf.: 710.

Telefon: +36-1-325-7672

Adatvédelmi tisztviselő: dr. Rück István

E-mail: adatvedelmitisztviselo@nbsz.gov.hu

2. Az adatkezelés alapjául szolgáló jogszabályok

1. az Európai Parlament és a Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) (a továbbiakban: GDPR)
2. az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv.)
3. a nemzetbiztonsági szolgálatokról szóló 1995. évi CXXV. törvény (a továbbiakban: Nbtv.)
4. a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (a továbbiakban: Kbtv.)
5. a Magyarország kiberbiztonságáról szóló törvény végrehajtásáról szóló 418/2024. (XII. 23.) Korm. rendelet (a továbbiakban: Kbtv. vhr.)
6. a biztonsági osztályba sorolás követelményeiről, valamint az egyes biztonsági osztályok esetében alkalmazandó konkrét védelmi intézkedésekről szóló 7/2024. (VI. 24.) MK rendelet

3. Adatkezelési tevékenységek

1. Statisztikai célú adatkezelés
2. Kibervédelmi tevékenységhez köthető adatkezelés
3. Sérülékenységvizsgálathoz köthető adatkezelés
4. Nem anonim incidens bejelentőkhöz köthető adatkezelés

4. Adatkezelés célja

1. Statisztikai célból kezelt adatok esetén a honlap látogatottságának mérése, a látogatási adatok összesített, statisztikai elemzése és a honlap működésének fejlesztése. Az NBSZ az adatokat a látogató azonosítására nem használja fel.
2. Kibervédelmi tevékenységhez köthetően a kibertérből érkező fenyegetések, támadások és kiberbiztonsági incidensek megelőzése, észlelése és kezelése, valamint az ezzel összefüggő kapcsolattartás az érintett szervezetekkel (Kbtv. 63–64. §), továbbá a honlapon keresztül elérhető szolgáltatások nyújtása.
3. Sérülékenységvizsgálathoz köthető adatok esetén a sérülékenységvizsgálat kezdeményezése, előkészítése, lefolytatása és eredményének közlése érdekében a vizsgált szervezet kapcsolattartóival való kapcsolattartás (Kbtv. 57–62. §).
4. Nem anonim incidens- és sebezhetőség-bejelentések esetén a bejelentés befogadása, értékelése és kezelése, valamint a bejelentővel való kapcsolattartás (Kbtv. 67. §, Kbtv. vhr. 76. §).

5. Kezelt adatok köre

1. Statisztikai célból kezelt adatok: IP-cím, látogatás időpontja, böngésző adatai (részletesen lásd: Tájékoztató a sütikről)
2. Kibervédelmi tevékenységhez köthető adatok: kapcsolati adatok (név, telefonszám, e-mail-cím, szervezet neve, szervezet címe)
3. Sérülékenységvizsgálathoz köthető adatok: kapcsolati adatok (név, telefonszám, e-mail-cím, szervezet neve)
4. Nem anonim incidens- és sebezhetőség-bejelentésekhez köthető adatok: a bejelentő kapcsolati adatai (név, telefonszám, e-mail-cím, szervezet neve), valamint a bejelentésben megadott, személyes adatnak minősülő egyéb információk

6. Adatkezelés jogalapja

1. Statisztikai célból kezelt adatok esetén a GDPR 6. cikk (1) bekezdés a) pontja szerinti hozzájárulás (lásd: Tájékoztató a sütikről). A hozzájárulás bármikor visszavonható; a visszavonás nem érinti a visszavonás előtti adatkezelés jogszerűségét.
2. Kibervédelmi tevékenységhez köthető adatok esetén a GDPR 6. cikk (1) bekezdés e) pontja, azaz az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges [Nbtv. 8. § (1) bekezdés i) pont, Kbtv. 63–64. §, Kbtv. vhr. 65. § (1) bekezdés].
3. Sérülékenységvizsgálathoz köthető adatok esetén a GDPR 6. cikk (1) bekezdés e) pontja, azaz az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges [Nbtv. 8. § (1) bekezdés i) pont, Kbtv. 57–61. §, Kbtv. vhr. 48. § (1) bekezdés].
4. Nem anonim incidens- és sebezhetőség-bejelentésekhez köthető adatok esetén a GDPR 6. cikk (1) bekezdés e) pontja, azaz az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges [Kbtv. 67. §, Kbtv. vhr. 76. §].

7. Adatkezelés időtartalma

1. Statisztikai célból kezelt adatok esetén 1 év.
2. Kibervédelmi tevékenységhez köthető adatok esetén 5 év.
3. Sérülékenységvizsgálathoz köthető adatok esetén max. 5 év.
4. Nem anonim incidens bejelentők adatai esetén max. 5 év.

8. Az adatkezelés módja

1. Statisztikai célból kezelt adatok esetén kizárólag elektronikus formában történik az adatkezelés.
2. Kibervédelmi tevékenységhez köthető adatok esetén alapvetően elektronikus formában történik az adatkezelés, de kiemelt ügyekben papíralapú, iktatott jelentés készül, amely tartalmazhat személyes adatokat.
3. Sérülékenységvizsgálathoz köthető adatok esetén vegyes – elektronikus és papír alapú – formában történik az adatkezelés.
4. Nem anonim incidens- és sebezhetőség-bejelentésekhez köthető adatok esetén kizárólag elektronikus formában történik az adatkezelés.

9. Adatokhoz való hozzáférés és adattovábbítás

A fentiekben jelzett személyes adatokat kizárólag az NBSZ kijelölt munkatársai kezelik, azok az NBSZ székhelyén, illetve az érintett szakterületeken kerülnek tárolásra.
Az NBSZ külső szerv vagy személy részére a jelzett személyes adatokat – a hatóságok és más szervek részére történő, jogszabályon alapuló kötelező adatszolgáltatás kivételével – nem továbbítja.
Az NBSZ személyes adatot harmadik országba vagy nemzetközi szervezet részére nem továbbít.

10. Adatbiztonsági intézkedések

Az NBSZ – a Kbtv. és a 7/2024. (VI. 24.) MK rendelet szerinti védelmi intézkedésekre is figyelemmel – megfelelő technikai, informatikai, fizikai és személyi biztonsági intézkedésekkel gondoskodik arról, hogy az általa kezelt személyes adatokat védje többek között a jogosulatlan hozzáférés, jogosulatlan megváltoztatás ellen.
Papíralapú tárolás esetén az adathordozók zárt helyen, kizárólag a munkakörük alapján illetékes személyek által hozzáférhetően kerülnek tárolásra.
Elektronikus formában történő adattárolás esetén a munkakörük alapján illetékes személyek egyedi technikai azonosítással férhetnek hozzá a személyes adatokhoz.

11. Az adatok forrása, az adatszolgáltatás jellege, automatizált döntéshozatal

Az NBSZ – a Kbtv. és a 7/2024. (VI. 24.) MK rendelet szerinti védelmi intézkedésekre is figyelemmel – megfelelő technikai, informatikai, fizikai és személyi biztonsági intézkedésekkel gondoskodik arról, hogy az általa kezelt személyes adatokat védje többek között a jogosulatlan hozzáférés, jogosulatlan megváltoztatás ellen.
Papíralapú tárolás esetén az adathordozók zárt helyen, kizárólag a munkakörük alapján illetékes személyek által hozzáférhetően kerülnek tárolásra.
Elektronikus formában történő adattárolás esetén a munkakörük alapján illetékes személyek egyedi technikai azonosítással férhetnek hozzá a személyes adatokhoz.

12. Érintettek általános jogai

1. A kérelmek teljesítésének közös szabályai
   Az érintett jogai gyakorlására irányuló kérelmét az 1. pontban megjelölt elérhetőségeken terjesztheti elő. Az NBSZ a kérelmet indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül teljesíti, illetve tájékoztatja az érintettet a kérelem nyomán hozott intézkedésekről. Szükség esetén – a kérelem összetettségére és a kérelmek számára tekintettel – ez a határidő további két hónappal meghosszabbítható; a meghosszabbításról és annak okairól az NBSZ az érintettet a kérelem beérkezésétől számított egy hónapon belül tájékoztatja [GDPR 12. cikk (3) bekezdés].
   Ha az NBSZ a kérelem nyomán nem tesz intézkedést, az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be a NAIH-nál és bírósághoz fordulhat, az érintettet egy hónapon belül tájékoztatja [GDPR 12. cikk (4) bekezdés].
   A tájékoztatás és az intézkedés díjmentes [GDPR 12. cikk (5) bekezdés]. A jogosulatlan hozzáférés megakadályozása érdekében, ha az NBSZ-nek megalapozott kétsége van a kérelmet benyújtó személy kilétével kapcsolatban, a személyazonosság megerősítéséhez szükséges további információt kérhet [GDPR 12. cikk (6) bekezdés]. Az NBSZ a válaszát a kérelemben megadott elérhetőségre küldi meg.
2. Az érintett hozzáférési joga
   Az érintett jogosult arra, hogy az NBSZ-től visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a GDPR 15. cikk (1) bekezdésében felsorolt információkhoz (így különösen az adatkezelés céljához, a kezelt adatok kategóriáihoz, a címzettekhez, az adatkezelés időtartamához, az érintetti jogokhoz, a panasztétel jogához és az adatok forrásához) hozzáférést kapjon. Az NBSZ az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja [GDPR 15. cikk (3) bekezdés].
3. Helyesbítéshez való jog
   Az érintett jogosult arra, hogy kérésére az NBSZ indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat, valamint – figyelembe véve az adatkezelés célját – kiegészítse a hiányos személyes adatokat (GDPR 16. cikk).
4. Törléshez való jog
   Az érintett jogosult arra, hogy kérésére az NBSZ indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha a GDPR 17. cikk (1) bekezdésében meghatározott valamely feltétel fennáll (így különösen, ha a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték, ha az érintett visszavonja hozzájárulását és az adatkezelésnek nincs más jogalapja, vagy ha az érintett tiltakozik, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre).
   A törlési kérelmet az NBSZ abban az esetben utasítja el, ha az adatkezelés az NBSZ-re alkalmazandó jogszabály szerinti kötelezettség teljesítése, illetve közérdekű vagy közhatalmi feladat végrehajtása érdekében szükséges [GDPR 17. cikk (3) bekezdés b) pont].
5. Az adatkezelés korlátozásához (zároláshoz) való jog
   1. Az érintett jogosult arra, hogy kérésére az NBSZ zárolja az adatait, ha:
      1. az érintett vitatja a személyes adatok pontosságát – ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az NBSZ ellenőrizze a személyes adatok pontosságát;
      2. az adatkezelés jogellenes, de az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
      3. az NBSZ-nek már nincs szüksége a személyes adatokra az adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez;
      4. az érintett a GDPR 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen – ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az NBSZ jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.
   2. Korlátozás esetén a személyes adatokat – a tárolás kivételével – csak az érintett hozzájárulásával, jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni. A korlátozás feloldásáról az NBSZ az érintettet előzetesen tájékoztatja [GDPR 18. cikk (2)–(3) bekezdés].
6. Az adathordozhatósághoz való jog
   Az érintett jogosult arra, hogy a rá vonatkozó, általa az NBSZ rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezen adatokat egy másik adatkezelőnek továbbítsa, amennyiben az adatkezelés jogalapja az érintett hozzájárulása vagy szerződés teljesítése és az adatkezelés automatizált módon történik. E jog a jelen tájékoztató szerinti adatkezelések közül kizárólag a 3.1 pont szerinti, hozzájáruláson alapuló adatkezelés tekintetében gyakorolható; a közérdekű vagy közhatalmi feladat végrehajtásához szükséges adatkezelésre (3.2–3.4 pont) nem alkalmazható [GDPR 20. cikk (3) bekezdés].
   A kérelem teljesítése esetén az NBSZ az érintett személyes adatait géppel olvasható formában küldi meg.
7. Tiltakozáshoz való jog
   Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a GDPR 6. cikk (1) bekezdés e) pontján alapuló kezelése (3.2–3.4 pont) ellen.
   Ebben az esetben az NBSZ a személyes adatokat nem kezelheti tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak [GDPR 21. cikk (1) bekezdés].
8. A hozzájárulás visszavonásának joga
   A hozzájáruláson alapuló adatkezelés (3.1 pont) esetén az érintett jogosult hozzájárulását bármikor visszavonni, amely a visszavonás előtti adatkezelés jogszerűségét nem érinti [GDPR 7. cikk (3) bekezdés]. A hozzájárulás a honlap sütibeállításainak módosításával, illetve a böngészőben tárolt sütik törlésével vonható vissza.

13. Adatkezeléssel kapcsolatos jogérvényesítés lehetősége

Az érintett, ha megítélése szerint személyes adatainak kezelése nem felel meg a jogszabályi követelményeknek, kezdeményezheti az NBSZ adatvédelmi tisztviselőjének eljárását, panaszt nyújthat be a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH) (GDPR 77. cikk), illetve bírósághoz fordulhat (GDPR 79. cikk, Infotv. 23. §). A pert az érintett – választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja [Infotv. 23. § (3) bekezdés].
Az NBSZ adatvédelmi tisztviselőjének elérhetőségei: az 1. pontban megjelöltek szerint.
NAIH elérhetőségei:
Nemzeti Adatvédelmi és Információszabadság Hatóság
Székhely: 1055 Budapest, Falk Miksa utca 9-11
Postacím: 1363 Budapest, Pf. 9.
Honlap: https://www.naih.hu
E-mail: ugyfelszolgalat@naih.hu
Telefon: +36 (1) 391-1400