6. Adatvédelmi incidens kezelése

Az Adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt adatokkal összefüggésben felmerült adatvédelmi incidens kapcsán rögzíti az Info tv. (5) bekezdés a), c) és d) pontja szerinti adatokat, valamint az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Hatóságnak.

Az adatvédelmi incidenst nem kell bejelenteni, ha valószínűsíthető, hogy az nem jár kockázattal az érintettek jogainak érvényesülésére.

Ha az Adatkezelő a bejelentési kötelezettséget akadályoztatása miatt határidőben nem teljesíti, azt az akadály megszűnését követően haladéktalanul teljesíti, és a bejelentéshez mellékeli a késedelem okait feltáró nyilatkozatát is.

Ha az adatvédelmi incidens az adatfeldolgozó tevékenységével összefüggésben merült fel vagy azt egyébként az adatfeldolgozó észleli, arról - az adatvédelmi incidensről való tudomásszerzését követően - haladéktalanul tájékoztatja az Adatkezelőt.

A bejelentési kötelezettség keretei között az Adatkezelő - ismerteti az adatvédelmi incidens jellegét, beleértve - ha lehetséges - az érintettek körét és hozzávetőleges számát, valamint az incidenssel érintett adatok körét és hozzávetőleges mennyiségét;
- tájékoztatást nyújt az adatvédelmi tisztviselő vagy a további tájékoztatás nyújtására kijelölt más kapcsolattartó nevéről és elérhetőségi adatairól;
- ismerteti az adatvédelmi incidensből eredő, valószínűsíthető következményeket, és
- ismerteti az Adatkezelő által az adatvédelmi incidens kezelésére tett vagy tervezett – az adatvédelmi incidensből eredő esetleges hátrányos következmények mérséklését célzó és egyéb – intézkedéseket.

Ha az Info tv. (5) bekezdés a)-d) pontjában foglalt valamely információ a bejelentés időpontjában nem áll az Adatkezelő rendelkezésére, azzal az Adatkezelő a bejelentést annak benyújtását követően utólag - az információ rendelkezésre állásáról való tudomásszerzését követően haladéktalanul - kiegészíti.

A bejelentési kötelezettséget az Adatkezelő - a minősített adatot tartalmazó bejelentés kivételével - a Hatóság által e célra biztosított elektronikus felületen teljesíti.

Ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (a továbbiakban: magas kockázatú adatvédelmi incidens), a nemzetbiztonsági célú adatkezelés kivételével az Adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja.

A tájékoztatási kötelezettség keretei között az Adatkezelő világosan és közérthetően ismerteti az adatvédelmi incidens jellegét, valamint az érintett rendelkezésére bocsátja az Info tv. 25/J. § (5) bekezdés b), c) és d) pontjában meghatározott információkat.