A SARKADI KISTÉRSÉGI JÁRÓBETEG SZAKELLÁTÓ KÖZPONT
ADATVÉDELMI SZABÁLYZATA
Érvényes : 2024. július 01-től
-
1.Általános bevezetés
1.1. Az Adatkezelő megnevezése:
Neve: | Sarkadi Kistérségi Járóbeteg Szakellátó Központ |
Székhelye: | 5720 Sarkad Béke sétány 6. |
Levelezési cím: | 5720 Sarkad Béke sétány 6. |
Telefonszám: | +36 66 585 800 |
E-mail cím: | titkarsag@szakrendelo-sarkad.hu |
Jogállása: | teljes jogkörrel rendelkező, önállóan gazdálkodó jogi személy |
1.2. Törvényi hivatkozások
- évi XCIII. törvény a munkavédelemről
- évi CXVII. törvény-a személyi jövedelemadóról
- évi CXIX. törvény (DMtv.) a kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről
- évi LXXX. törvény (TBtv) - a társadalombiztosítás ellátásaira és a magánnyugdíjra jogosultakról, valamint e szolgáltatások fedezetéről
- évi CVIII. törvény (Ekertv.) - az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről
- évi LIII. törvény - az egyének védelméről a személyes adatok gépi feldolgozása során, Strasbourgban, 1981. január 28-án kelt Egyezménynek a felügyelő hatóságokról és a személyes adatok országhatárokat átlépő áramlásáról szóló, Strasbourgban, 2001. november 8-án kelt Kiegészítő Jegyzőkönyve kihirdetéséről a gépi adatkezelés feltételeiről és egyes korlátairól
- évi CXXXIII. törvény a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól
- évi XLVIII. törvény (Grtv.) - a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól
- évi CXII. törvény (Infotv.) az információs önrendelkezési jogról és az információszabadságról
- évi CXCI. törvény a megváltozott munkaképességű személyek ellátásairól és egyes törvények módosításáról
- évi I. törvény - a munka törvénykönyvéről
- AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (2016. április 27.) (GDPR)
-
2. Szabályok, bevezető rendelkezések
2.1. A rendelkezés célja
A szabályzat célja, hogy meghatározza az Adatkezelő tevékenységéhez kapcsolódó személyes adatok kezelésének feltételeit és céljait, támogassa az adatalanyok magánszférájának tiszteletben tartását és az adatvédelmet.
2.2. A szabályzat hatálya
Időbeli hatály: Jelen rendelkezés a kiadása napján lép hatályba és visszavonásig érvényes. Felülvizsgálatát az adatkezelés körülményeiben beállt lényeges változás után, de legalább 3 évente el kell végezni. Különös figyelemmel kell kezelni az adatvédelmi területen hatályba lépő jogszabályokra történő felkészülést.
Személyi hatály: a szabályzat személyi hatálya kiterjed az Adatkezelőre és annak munkavállalóira, illetve mindazokra, akik a munkavégzésük során kapcsolatba kerülnek az Adatkezelő által kezelt személyes adatokkal, valamint az Adatkezelő részére adatfeldolgozó tevékenységet végző szerződéses partnerekre, függetlenül az adatkezelés/adatfeldolgozás céljától és módjától.
Tárgyi hatály: a szabályzat tárgyi hatálya kiterjed minden, az adatkezelés/adatfeldolgozás során felhasznált tárgyi eszközre, függetlenül annak üzemelési helyétől.
Területi hatály: a szabályzat területi hatálya kiterjed azokra az Adatkezelő helyiségekre és külső helyszínekre, ahol adatkezelés/adatfeldolgozás folyik
2.3. Fogalmak
adatbiztonság: | bármilyen tárgyú, bármilyen formában tárolt adatok fizikai védelme megsemmisülés, illetéktelen hozzáférés, adathiba, vagy jogosulatlan megváltoztatás ellen |
adatfeldolgozó: | az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel; |
adatkezelés: | a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés; |
adatkezelő: | az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja; |
adatkezelés korlátozása: | a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából; (csak adattárolás) |
adatmegsemmisítés: | az adatokat tartalmazó adathordozó teljes fizikai megsemmisítése |
adattörlés: | az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges |
adattovábbítás: | az adat meghatározott harmadik fél számára hozzáférhetővé tétele |
adatvédelem: | személyes adatok jogszerűtlen kezelésének megakadályozása, a magánszféra védelme |
adatvédelmi incidens: | személyes adat jogellenes kezelése vagy feldolgozása, így különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés |
biometrikus adat: | egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat; |
bizalmasság: | az adatot csak az arra jogosultak és csak a jogosultságuk szerint ismerhetik meg, használhatják fel, illetve rendelkezhetnek a felhasználásáról |
címzett: | az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. |
egészségügyi adat: | egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról; |
érintett: | bármely meghatározott, személyes adat alapján azonosított vagy - közvetlenül vagy közvetve - azonosítható természetes személy; |
harmadik fél: | az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak; |
harmadik ország: | minden olyan állam, amely nem EGT-állam |
hozzájárulás | az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez; |
különleges adat: | A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok |
nyilvántartási rendszer: | a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető; |
statisztikai adat: | a személyes adatok feldolgozása olyan módon – pl.: statisztikai módszerekkel -, hogy az adattörlésre vonatkozó rendelkezések érvényesülnek, azaz az egyes személyekkel minden kapcsolatuk megszakadt, és ez a kapcsolat nem is állítható helyre |
rendelkezésre állás: | annak biztosítása, hogy a szükséges adat a szükséges időben az arra jogosultak számára az általuk elvárt formában hozzáférhető, elérhető legyen |
sértetlenség: | az adat létének, hitelességének, épségének, önmagában teljességének kritériuma |
személyes adat: | azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható; |
nyilvánosságra hozatal: | az adat bárki számára hozzáférhetővé tétele |
tiltakozás: | az érintett nyilatkozata. amelyben él a jogosultságával, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a GDPR 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. |
-
3. Érintett jogai és azok érvényesítése
3.1 Általános szabályok
- Az Adatkezelő az adatkezeléssel kapcsolatos tájékoztatás módját és elérhetőségét nyilvánosságra hozza minden formanyomtatványon, melyben az ügyfél hozzájáruló nyilatkozatot tesz és saját Internetes honlapján.
- Az Adatkezelő elősegíti az érintett jogainak a gyakorlását.
- Az Adatkezelő indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a kérelme alapján hozott intézkedésekről.
- A kérelem összetettsége és a kérelmek száma esetén ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet.
- Amennyiben elektronikus úton érkezett a kérelem, az Adatkezelő a tájékoztatást lehetőség szerint elektronikus úton adja meg, kivéve, ha az érintett azt másként kéri.
- Az Adatkezelő, amennyiben nem tesz intézkedéseket az érintett kérelme követően, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.
- Az érintett tájékoztatását és a szükséges intézkedést díjmentesen kell biztosítani.
- Az Adatkezelő, amennyiben az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adminisztratív költségekre tekintettel észszerű összegű díjat számíthat fel, vagy megtagadhatja a kérelem alapján történő intézkedést.
- Az adatkezelőt terheli a kérelem egyértelműen megalapozatlan, vagy túlzó jellegének bizonyítása
- A kérelmeket az érintett, valamint meghatalmazottja terjesztheti elő. A kérelem kezelésének feltétele, hogy a meghatalmazott által beadott írásbeli kérelem esetén a tájékoztatás kérése teljes bizonyító erejű magánokiratban érkezzen és abból a meghatalmazotti jogosultság megállapítható legyen, valamint az érintett a személyazonosságát, illetve a meghatalmazott a meghatalmazotti jogosultságát hitelt érdemlően igazolja.
3.2 Az érintett előzetes tájékoztatása tőle beszerzett adatok esetén
Az Adatkezelő az adatkezelés megkezdése előtt tájékoztatja az érintettet, amely tartalmazza az alábbiakat:
- az Adatkezelő kapcsolattartójának elérhetőségeit;
- a személyes adatok tervezett kezelésének célját, valamint az adatkezelés jogalapját;
- jogos érdeken alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekeit;
- adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
- az Adatkezelő harmadik országba történő adattovábbítását és a szükséges garanciákat (a 46. cikkben, a 47. cikkben vagy a 49. cikk)
- a személyes adatok tárolásának időtartamát, vagy ezen időtartam meghatározásának szempontjait;
- az érintett azon jogát, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen
- az érintett adathordozhatósághoz való jogát;
- hozzájáruláson alapuló adatkezelésnél, az érintett jogát a hozzájárulás bármely időpontban történő visszavonásához, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
- a felügyeleti hatósághoz címzett panasz benyújtásának jogát;
- azt a körülményt, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul, vagy szerződés kötésének előfeltétele-e, illetve az érintett köteles-e a személyes adatokat megadni, illetve milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;
- automatizált döntéshozatal esetén ennek tényét, ideértve a profilalkotást is, valamint az alkalmazott logikára és arra vonatkozóan érthető információkat, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.
3.3 Az érintett tájékoztatása nem tőle beszerzett adatok esetén
Amennyiben az Adatkezelő a személyes adatokat nem az érintettől szerezte be:
- a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül;
- ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával;
- ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor
tájékoztatja az érintettet:
- az adatkezelő és az adatvédelmi tisztviselő elérhetőségeit;
- a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapját;
- amennyiben az adatkezelés jogos érdeken alapul az adatkezelő vagy harmadik fél jogos érdekeit;
- az érintett személyes adatok kategóriáit;
- a személyes adatok címzettjeit, illetve a címzettek kategóriáit;
- harmadik országbeli címzett esetén a megfelelő garanciákat;
- a személyes adatok tárolásának időtartamát, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjait;
- az érintett személyes adataihoz való hozzáférésének, azok helyesbítésének, törlésének vagy kezelés korlátozásának, és tiltakozásának, valami az adathordozhatósághoz való jogát;
- hozzájáruláson alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
- felügyeleti hatósághoz címzett panasz benyújtásának jogát;
- automatizált döntéshozatal tényét, ideértve a profilalkotást
érintő érdemi körülményekről.
Amennyiben az Adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatja az érintettet erről az eltérő célról és minden releváns kiegészítő információról.
Nem kell az Adatkezelőnek tájékoztatni az érintettet, ha és amilyen mértékben:
- az érintett már rendelkezik az információkkal;
- az adat megszerzését, vagy közlését kifejezetten előírja az Adatkezelőre vonatkozó jogszabály.
3.4 Az érintett hozzáférési joga (kérelmére tájékoztatás)
Az érintett az Adatkezelőtől (Adatfeldolgozótól) tájékoztatást kérhet a személyes adatai kezelése kapcsán az adatkezelés lényeges körülményeiről, mint:
- az adatkezelés céljai;
- az érintett személyes adatok kategóriái;
- azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;
- adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
- az érintett jogát, hogy kérheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;
- felügyeleti hatósághoz címzett panasz benyújtásának jogát;
- ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
- automatizált döntéshozatal ténye, ideértve a profilalkotást is, az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.
3.5 Az érintett kérelme személyes adatainak helyesbítésére
Az Adatkezelő biztosítja annak a lehetőségét, hogy az érintett a személyes adatait – pontosítás céljából – helyesbítse, javítsa vagy módosítsa.
Ha az érintett kérelmében megjelölt személyes adat a valóságnak nem felel meg és a valóságnak megfelelő személyes adat az Adatkezelő rendelkezésére áll, a személyes adatot az Adatkezelő ez alapján helyesbíti.
3.6 Az érintett személyes adatainak törlése
Az érintett kérheti adatainak haladéktalan törlését az Adatkezelőtől amennyiben
- a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték; (az adatkezelés célja megvalósult)
- az érintett visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;
- az érintett tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre,
- a személyes adatokat jogellenesen kezelték;
- a személyes adatokat az Adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell.
Az Adatkezelő az általa nyilvánosságra hozott személyes adatot törli, az elérhető technológia és a megvalósítás költségeinek figyelembevételével.
Az Adatkezelő lehetőségeihez mérten intézkedik annak érdekében, hogy tájékoztassa az adatokat kezelő további adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését. (Elfeledtetéshez való jog.)
Az Adatkezelő nem törli az adatokat amennyiben az adatkezelés:
- a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;
- a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó jogszabályi kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;
- létfontosságú érdekből, a népegészségügy területét érintő közérdek alapján;
- a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból,
- jogi igények előterjesztéséhez, érvényesítése, illetve védelme érdekében
történt.
3.7 Az adatkezelés korlátozása
Az érintett kérheti az alábbi esetekben, hogy az Adatkezelő korlátozza az adatkezelést:
- az érintett vitatja a személyes adatok pontosságát, ilyen esetben a korlátozás az adatkezelő által történő ellenőrzés idejére terjed ki;
- az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését;
- az adatkezelőnek már nincs szüksége a személyes adatokra, de az érintett igényli azokat a saját jogi igényei előterjesztéséhez, érvényesítéséhez vagy védelméhez;
- az érintett tiltakozott az adatkezelés ellen, ilyen esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.
Amennyiben az érintett kérte személyes adatai kezelésének korlátozását, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy fontos közérdekéből lehet kezelni.
Az Adatkezelő az érintettet az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.
3.8 A személyes adatok helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség
Az adatvédelmi tisztviselő feladata, hogy értesítse a helyesbítés, a korlátozás és a törlés végrehajtásártól az érintettet, továbbá minden olyan címzettet, akiknek korábban az adatok adatkezelés céljára továbbításra kerültek. Az érintett kérheti, hogy az Adatkezelő tájékoztassa e címzettekről.
Az értesítés mellőzhető, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel.
3.9 Az érintett adathordozhatósághoz való joga
Az érintett kérheti a hozzájáruláson vagy a szerződésen alapuló, és automatizált módon történő adatkezelés esetén, hogy az Adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, jogosult arra is, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta.
Az érintett kérheti a személyes adatok adatkezelők közötti közvetlen továbbítását.
Az adathordozhatósághoz való jog gyakorlása nem érintheti hátrányosan mások jogait és szabadságait.
3.10 Az érintett tiltakozása
Az érintett tiltakozhat személyes adatainak kezelése ellen, amennyiben a közhatalmi feladatok ellátása, vagy jogos érdeken alapul. (a profilalkotás is)
Az érintett tiltakozása esetén az Adatkezelő a személyes adatokat törli, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.
3.11 Az érintett jogai automatizált döntéshozatal során
Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.
Kivétel, ha a döntés:
- az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges
- meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé
- az érintett kifejezett hozzájárulásán alapul
Ezekben az esetekben az érintett kérheti, hogy az adatkezelő részéről emberi beavatkozás történjen, álláspontját kifejezhesse, és a döntéssel szemben kifogást nyújthasson be.
3.12 Az érintett kérelmének kezelése és nyilvántartása
Az érintett kérelmének elbírálását az általános feltételekben leírtak szerint elvégzi az Adatkezelő. Az Adatkezelő minden olyan címzettet tájékoztat a helyesbítésről, törlésről vagy korlátozásról, akivel az adatokat közölték. Az érintetti kérelmeket nyilvántartja az Adatkezelő (1.sz. függelék)
3.13 Az érintett jogorvoslati lehetőségeinek kezelése (NAIH vizsgálat, bírósági jogérvényesítés, kártérítési igények kezelése)
Az érintett személyes adatai kezelésével kapcsolatos vélt jogsérelem esetén az illetékes törvényszékhez fordulhat, vagy vizsgálatot kezdeményezhet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál.
Ezekben az esetekben az Adatkezelőnek feladata a hatósági vizsgálat, illetve a bírósági tárgyalások során a saját jogkövető magatartását bizonyítani.
A bizonyítási eljáráshoz az Adatkezelőnek minden lényeges információt, szabályzatot, naplóbejegyzést a jogi képviselő rendelkezésére kell bocsátani. A feladatoklat az adatvédelmi tisztviselő koordinálja.
Elmarasztaló bírósági ítélet esetén az Adatkezelő vezetője munkajogi illetve polgári jogi eljárást indíthat a vétő munkavállaló, adatfeldolgozó végző ellen.
3.14 Elhunytak adataival kapcsolatos jogok
Az elhunytakat megillető érintetti jogok, az érintett halálát követő öt éven belül a következőképpen gyakorolhatók.
3.14.1 Az elhalt még életében nyilatkozott
Az érintett által utoljára tett ügyintézési rendelkezéssel, illetve közokiratban vagy teljes bizonyító erejű magánokiratban foglalt, az adatkezelőnél tett nyilatkozattal történő meghatalmazás esetén a meghatalmazott személy élhet az érintettet megillető jogokkal az alábbiak szerint:
- hozzáférési jog,
- helyesbítéshez való jog,
- törléshez való jog,
- adatkezelés korlátázásához való jog,
- tiltakozáshoz való jog.
3.14.2 Az elhalt életében nem tett nyilatkozatot
A Polgári Törvénykönyv szerinti közeli hozzátartozója annak hiányában is jogosult élni:
- a helyesbítéshez való joggal, vagy
- a tiltakozáshoz való joggal.
3.14.3 Jogellenes adatkezelés
Amennyiben az adatkezelés már az érintett életében is jogellenes volt, vagy az adatkezelés célja az érintett halálával megszűnt az Érinett Ptk szerinti közeli hozzátartozója az érintett halálát követő öt éven belül élhet:
- a törléshez való jogával, vagy
- az adatkezelés korlátázásához való jogával.
Az érintett jogait érvényesítő személy az érintett halálának tényét és idejét halotti anyakönyvi kivonattal vagy bírósági határozattal, valamint saját személyazonosságát közokirattal kell igazolnia.
Az Adatkezelő kérelemre tájékoztatja az érintett Polgári Törvénykönyv szerinti közeli hozzátartozó a megtett intézkedésekről, kivéve, ha azt az érintett nyilatkozatában ezt megtiltotta.
-
4. Adatok kezelésének alapvető feltételei
4.1 Az adatkezelések célja
A személyes adatok kezelése esetén egyértelműen kell meghatározni az adatkezelés jogszerű célját.
4.2 Az adatkezelés jogalapja
Az adatkezelések csak megfelelő jogalappal végezhetők.
Ezek a következők lehetnek:
- az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
- az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
- az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
- az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
- az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
- az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
Különös figyelemmel kell kezelni az érdekmérlegelésen alapuló adatkezeléseket. Ilyen esetben el kell végezni és megismerhetővé kell tenni az érdekmérlegelési tesztet.
Az érdekmérlegelési teszt során a következő lépéseket kell megtenni:
- A tervezett adatkezelés megkezdése előtt át kell tekinteni, hogy az adatkezelési cél elérése érdekében feltétlenül szükséges-e személyes adat kezelése, állnak-e rendelkezésre olyan alternatív megoldások, amelyek alkalmazásával személyes adatok kezelése nélkül megvalósítható a tervezett cél.
- A lehető legpontosabban meg kell meghatározni az Adatkezelő, jogos érdekét.
- Meg kell határozni az adatkezelés pontos célját, valamint meg kell állapítani, hogy a jogos érdek meddig igényli az adat kezelését.
- Meg kell határozni az érintett érdekeit az adott adatkezelés vonatkozásában.
- Meg kell határozni, hogy miért korlátozza arányosan az Adatkezelő jogos érdeke az érintett személyek jogait és szabadságait.
4.3 Az adatkezelés időtartama
A személyes adatokat az egyes adatkezelések esetében a cél megvalósulásáig, illetve meghatározott ideig lehet megőrizni.
A megőrzés időtartama nem lehet ellentétben az iratkezelési szabályzatban meghatározott őrzési idővel.
4.4 Az adatkezelés alapelvei
Az Adatkezelő az adatkezelés folyamataiban érvényesíti a következő alapelveket:
Jogszerűség, tisztességes eljárás és átláthatóság:
A személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon végzi.
Célhoz kötöttség:
A személyes adatok gyűjtését csak meghatározott, egyértelmű és jogszerű célból folytatja, azokat nem kezeli a célokkal össze nem egyeztethető módon. Nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés.
Adattakarékosság:
Az Adatkezelő csak az adatkezelés céljai szempontjából megfelelő, releváns és szükséges személyes adatokat kezel.
Pontosság:
A Adatkezelő minden észszerű intézkedést megtesz annak érdekében, hogy a kezelt személyes adatok pontosak, szükség esetén naprakészek és szükségesek legyenek. Az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul törli, vagy helyesbíti az Adatkezelő.
Korlátozott tárolhatóság:
A személyes adatokat az adatkezelő - az érintettek azonosítására alkalmas módon - csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig kezeli.
Integritás és bizalmas jelleg (adatbiztonság):
Az Adatkezelő a személyes adatok kezelését oly módon végzi, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is beleértve.
Elszámoltathatóság:
Az Adatkezelő felelősséget vállal az alapelvek betartásáért, továbbá képes a megfelelőség igazolására.
4.5 Titoktartási kötelezettség
Az Adatkezelő munkavállalóit, valamint az Adatkezelővel adatkezelési, vagy adatfeldolgozói viszonyban álló más személyt, illetve szervezetet, az érintettekkel kapcsolatos, adat és egyéb tény vonatkozásában, időbeli korlátozás nélkül titoktartási kötelezettség terheli, függetlenül attól, hogy az adatot közvetlenül az érintettől, illetve közvetett módon az Adatkezelő dokumentációiból, vagy bármely más módon ismert meg.
A titoktartási kötelezettség megszegése munkajogi, polgárjogi, valamint büntetőjogi szankciót von maga után.
A titoktartási kötelezettség nem vonatkozik arra az esetre, ha ez alól az érintett felmentést adott, vagy a jogszabály az adat szolgáltatásának a kötelezettségét írja elő.
Az Adatkezelő munkavállalói adatvédelmi és titoktartási nyilatkozatot írnak alá.
4.6 Az adatvédelmi nyilvántartás
4.6.1 Adatkezelési tevékenységek nyilvántartása (Adatkezelőként)
Az Adatkezelő az adatkezeléseiről nyilvántartást vezet. Az Adatkezelő vezetője által kijelölt személy (adatvédelmi tisztviselő) köteles minden új adatkezelést dokumentálni az adatkezelési nyilvántartásban (adatvagyonleltár). 2. sz. függelék
Az Adatkezelő által végzett adatkezelésekről legalább a következő adatokat rögzíti:
- az adatkezelés megnevezését;
- az adatkezelő nevét és elérhetőségét;
- az adatkezelés céljait;
- az érintettek kategóriáinak, valamint a személyes adatok kategóriáinak ismertetését;
- olyan címzettek kategóriáit, akikkel a személyes adatokat közlik vagy közölni fogják, ideértve a címzetteket, valamint az adatfeldolgozókat
- az adatfeldolgozók által végzett tevékenységet, az érintettek kategóriát és a feldolgozott adatok kategóriáit
- adott esetben a személyes adatok harmadik országba történő továbbítására vonatkozó információk, a megfelelő garanciák leírását;
- a különböző adatkategóriák törlésére előirányzott határidők;
- az adatkezelés technikai és szervezési intézkedéseinek általános leírását.
4.6.2 Adatkezelési tevékenységek nyilvántartása (Adatfeldolgozóként)
Az Adatkezelő által megbízásból (Adatfeldolgozóként) végzett adatkezelésekről a következő adatokat rögzíti az adatkezelési nyilvántartásban (adatvagyonleltár).
- az adatfeldolgozó vagy adatfeldolgozók neve és elérhetőségei,
- minden adatkezelő (Megbízó) neve és elérhetőségei, akinek a nevében az adatfeldolgozó eljár,
- az adatkezelő adatvédelmi kapcsolattartójának a neve és elérhetőségei;
- az adatfeldolgozó adatvédelmi kapcsolattartójának a neve és elérhetőségei;
- az egyes adatkezelők (Megbízók) nevében végzett adatkezelési tevékenységek kategóriái;
- az érintettek kategóriái
- a kezelt adatok kategóriái
- a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása és a megfelelő garanciák leírása;
- a technikai és szervezési intézkedések általános leírása.
4.7 Adatvédelmi incidensek kezelése
Az Adatkezelő cégvezetője az adatvédelmi incidensekről nyilvántartást vezet. (3. sz. függelék)
Amennyiben az adatvédelmi incidens valószínűsíthetően nem jár kockázattal az érintettekre nézve nincs jelentési kötelezettség a NAIH részére
Amennyiben valószínűsíthető a kockázat, akkor az adatvédelmi incidenst az Adatkezelő adatvédelmi tisztviselője a tudomására jutástól számítva késedelem nélkül, de legkésőbb 72 órával ezután bejelenti a NAIH-nak.
Amennyiben az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül az érintettet is tájékoztatja az adatvédelmi incidensről.
Magas a kockázatú az incidensek hatása, ha az érintettekre jelentős vagy akár visszafordíthatatlan következményekkel járhatnak, amelyek komoly nehézségekkel járnak, vagy nem lehet megoldaniuk. (vagyoni kár, munkahely elvesztése, munkaképtelenség, hosszú távú pszichés vagy fizikai betegségek, halál, stb.)
Nem kell tájékoztatni az érintettet, amennyiben
- megfelelő technikai és szervezési védelmi intézkedések kerültek végrehajtásra az adatvédelmi incidens által érintett adatok tekintetében (például a titkosítás), amelyek révén a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenek az adatok;
- az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;
- a tájékoztatás aránytalan erőfeszítést tenne szükségessé. (Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.)
4.8 Adatvédelmi hatásvizsgálat
Olyan adatkezelés esetében, amely valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, - az adatkezelést megelőzően - hatásvizsgálatot (DPIA) kell végezni.
Az egymáshoz hasonló típusú adatkezelési műveletek, amelyek egymáshoz hasonló magas kockázatokat jelentenek, egyetlen hatásvizsgálat keretei között is értékelhetők.
Az adatvédelmi hatásvizsgálatot különösen az alábbi esetekben kell elvégezni:
- természetes személyekre vonatkozó egyes személyes jellemzők olyan módszeres és kiterjedt értékelése, amely automatizált adatkezelésen – ideértve a profilalkotást is –alapul, és amelyre a természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések épülnek
- különleges adatok nagy számban történő kezelése
- nyilvános helyek nagymértékű, módszeres megfigyelése
A hatásvizsgálat szükségességét a 4. sz függelék segítségével kell eldönteni.
A hatásvizsgálat elvégzésének szükségességét a 5. sz. függelék szerint kell nyilvántartani, és az egész vizsgálatot dokumentálni szükséges.
A 2018. május 25-e előtt kezdett és hatásvizsgálat elvégzését igényló adatkezelések esetén az Infotv. 75.§ (3) alapján legkésőbb 2021. május 25-ig végre kell hajtani a hatásvizsgálat. Amennyiben az adatkezelés körülményeiben lényeges változás következik be, úgy azonnal el kell végezni a hatásvizsgálatot.
4.9 Adatbiztonság
4.9.1 Általános adminisztratív intézkedések
- Az adatkezelő kialakítja az adatbiztonsági eljárásait az informatika szabályozásban.
- Összehangolja az adatkezelő az ügyviteli szabályait az adatvédelmi követelményekkel.
- Kiköti a kompatibilitás vizsgálatát az eszközök beszerzésekor.
- Rendszeres karbantartást ír elő az eszközök rendelkezésre állásának fenntartása érdekében.
- Rendszeres képzést tart a vezetői és felhasználói tudatosság növelése érdekében.
- A munka- és feladatkörökhöz igazítja a felhasználói jogosultságokat.
- Nyilvántartja a külső adathordozókat (pl. pendrive-ok)
- Jogtiszta szoftvereket használ, melyeket nyilvántart.
4.9.2 Általános fizikai intézkedések
- Kifejezetten ügyel a tűzvédelmi szabályok betartására az adatvesztés megelőzése érdekében.
- Vagyonvédelmi rendszerekkel védi az adathordozókat tartalmazó helyiségeit, valamint az eszközeit a jogosulatlan fizikai hozzáféréstől.
- Védi a helyiségeit az adathordozókat károsító behatásoktól, (extrém hőmérséklet és páratartalom)
- Rendszeresen végrehajtja az eszközök karbantartását.
- Szünetmentes tápegységgel hidalja át az áramkimaradás okozta adatvesztéseket.
4.9.3 Általános logikai védelmi intézkedések
- Jogosultsági rendszer alkalmazásával a felhasználók munka- és feladatköréhez szükséges hozzáférésekre korlátozza az adatok megismerhetőségét és ezeket évente felülvizsgálja
- Elkülönítetten kezeli az adminisztrátori jogosultságokat, kialakítja a számítógépek BIOS szintű védelmét a személyes adatkezelésekben résztvevő eszközöknél. (Biztonsági beállítások megváltoztatása, külső eszközről rendszerindítás tiltása.)
- A szükséges mértékben naplózza a személyes adatok hozzáféréseit, valamint a biztonsági eseményeket
- Megfelelő eljárással titkosítja a mobil adathordozókat(pendrive, laptop, okostelefon) és biztonsági mentéseket készít az adatairól. Szükség esetén kialakítja a mobileszközök távoli törlésének feltételeit.
- Rendszeresen végrehajtja a szoftverek frissítését.
- Megfelelő védelmi szoftverek és eszközök (tűzfal, vírusírtó) alkalmazásával és az alkalmazások biztonsági beállításával mindent megtesz a rosszindulatú programok károkozásával szemben.
- Szükséges mértékben korlátozza a külső portok (pl. usb) használatát.
- Az archív email-ek elérését központi tárhelyen biztosítja.
- Az Adatkezelő informatikai rendszereihez használt távoli eléréseket csak megfelelő titkosítással ellátott módon, és felügyelt időtartamig lehet kialakítani.
- Az adatkezelő többszöri felülírással törli a selejtezendő, vagy eladásra szánt adathordozókat.
- Biztonsági mentéseket készít az adatokról.
4.9.4 Adatfelvétel
Az adatok felviteli és hozzáférési jogosultságát az Adatkezelő által felhatalmazott vezető engedélyezi, az engedélyezésnek dokumentáltnak kell lennie.
4.9.5 Adattárolás
Az Adatkezelő adatkezelései során papír alapú és elektronikus dokumentáció keletkezik.
A papír alapú dokumentációt az Adatkezelő, elemi károktól, fizikai behatásoktól és jogosulatlan kezeléstől védett, zárható helyiségeiben, illetve zárható tárolókban őrzi.
Az elektronikus dokumentáció tárolására külső adatfeldolgozót vehet igénybe az Adatkezelő.
Az elektronikus dokumentáció az adatfeldolgozó szerverén a megfelelő szintű informatikai biztonsági szabályok betartásával kerül tárolásra.
Az elektronikus formában kezelt adatok bizalmasságának, sértetlenségének és rendelkezésre állását biztosítását célzó intézkedéseket, az Adatkezelő külön szabályzatában határozza meg.
Az elektronikus adatok tárolását az Adatkezelő fizikai és logikai védelemmel biztosítja.
Az Adatkezelő területét elhagyó mobil eszközöket és elektronikus adathordozókat titkosítani szükséges.
A személyes adatok biztonságos tárolását papír alapú adatkezelés és feldolgozás esetén az Iratkezelési Szabályzat rendelkezései szerint végzi az Adatkezelő
4.9.6 Adatok módosítása
Az rögzített adatok módosítását csak arra jogosult felhasználó végezheti el. A módosításkor törekedni kell arra, hogy a módosított adat előzménye is megismerhető legyen.
A módosításra a jogosultságot az Adatkezelő vezetője engedélyezi, az engedélyezésnek dokumentáltnak kell lennie.
4.9.7 Adatok másolása
Az adatok rendelkezésre állásának érdekében az Adatkezelő biztonsági másolatot készít az informatikai szabályokban rögzített időközönként.
Az adatok másolása ezen kívül csak a munkakörüknél fogva jogosultak számára engedélyezett.
4.9.8 Anonimizálás
Az adatokból képzett, a személy azonosítására alkalmas adatoktól megfosztott újonnan képzett adatokat, az Adatkezelő felhasználhatja statisztikák, belső kimutatások és pályázati indikátorok készítésére.
Az Adatkezelő anonimizálást alkalmaz minden olyan esetben, amikor az anonim adatok is elégségesek az Adatkezelő pályázati tevékenysége teljesítményének, hatékonyságának mérésére, valamint ahol szerződés, vagy jogszabály írja elő pontos statisztikai adatok szolgáltatását.
4.9.9 Adatok törlése, megsemmisítése
Az adatok megőrzési ideje adatkezelésenként kerül meghatározásra.
Az Adatkezelő a megőrzési idő lejártával, vagy a 3.6 pont alapján fizikailag törli a személyes adatokat. Az adathordozók selejtezésekor, vagy eladásakor hasonlóan ját el.
Amennyiben papíralapú, vagy nem törölhető fizikailag az elektronikus adathordozó, akkor fizikailag meg kell semmisíteni azokat. A megsemmisítései eljárást úgy kell kialakítani, hogy a művelet után ne lehessen visszanyerni adatokat.
Az Adatkezelő a papír alapú adathordozókon tárolt adatok megsemmisítését az iratkezelési gyakorlata szerint végzi.
Az adat törlését minden esetben az adatért felelős köteles kezdeményezni, a selejtezésről jegyzőkönyvet kell készíteni.
Az Adatkezelő az elektronikus adatok törlésére alapvetően három módot alkalmaz
- az adatok logikai és fizikai (felülírással) törlése,
- az adatok anonimizálása, azaz megfosztása a természetes személy azonosítására alkalmas adatelemektől.
4.9.10. Az adatkezelő belső informatikai rendszerének ellenőrzése
A munkavállalók munkavégzéséhez megfelelő környezetet biztosít az adatkezelő. Ennek során az internet használat, a munkahelyi email fiók és informatikai eszközöket, a saját informatikai rendszerének a használatát biztosítja az Adatkezelő.
Az Adatkezelő ennek a saját belső informatikai rendszerének sértetlensége, működésének folyamatossága és a benne tárolt adatok biztonsága érdekében biztonsági intézkedéseket vezet be.
Az intézkedések megvalósulását jogszerű eszközökkel ellenőrzi.
Az Adatkezelő ellenőrzése csupán a munkaviszony rendeltetésével közvetlenül összefüggő okból feltétlenül szükséges körre terjed ki., melynek során alkalmazott eszközök, módszerek nem járnak az emberi méltóság megsértésével illetőleg a munkavállaló magánélete nem érintik.
Az Adatkezelő a munkavállalót előzetesen tájékoztatja az adatkezelés, ellenőrzés lényeges követelményeiről.
Ennek figyelembevételével az Adatkezelő ellenőrízheti a hálózati, különösen az internet használatra vonatkozó, valamint az általa biztosított eszközökön végzett munka-tevékenységet.
4.9.10.1. Munkahelyi e-mail használata
Az adatkezelő bizonyos munkakörökben dolgozóknak munkahelyi email fiókot bocsáthat rendelkezésére. Ezek a fiókok csak munkahelyi tevékenységgel kapcsolatban használhatók.
A cég jogosult az e-mail fiók teljes tartalmát és használatát rendszeresen ellenőrizni, arról másolatot készíteni, azonban a fokozatosság elvét be kell tartania és jogosulatlanul személyes adatot nem kezelhet (a nem munkahelyi e-mailek tartalmát nem ismerheti meg és nem is kezelheti vagy mentheti le azokat).
Az ellenőrzés végrehajtására az ügyvezető, illetve a munkáltatói jogok gyakorlója jogosult. Az Adatkezelő az email fiók használatával kapcsolatos szabályokról, az Adatvédelmi Szabályzatban foglaltak betartásának munkaköri kötelezettségéről, az ellenőrzés lehetőségéről. valamint az ellenőrzésre felhatalmazott személyek köréről, továbbá egyéb fontosnak tartott információkról köremail formájában rendszeresen tájékoztathatja az érintett munkavállalókat.
Amennyiben az ellenőrzés körülményei lehetővé teszik, biztosítani kell az ellenőrzés időtartama alatt a munkavállaló jelenlétét.
Az ellenőrzés során elsődlegesen az e-mail címéből és tárgyából kell megállapítani azt, hogy az a munkavállaló munkaköri feladatával kapcsolatos-e vagy személyes. A személyes tárgyú e-mailek tartalmának megismerésére az Adatkezelő nem jogosult, a nem személyes célú emailek tartalmát korlátozás nélkül vizsgálhatja.
Amennyiben az ellenőrzés során bebizonyosodik, hogy a munkavállaló megsértette az adatkezelési szabályokat, fel kell szólítani, hogy haladéktalanul törölje a személyes adatokat. Amennyiben az ellenőrzés során a dolgozó nincs jelen, illetve nem működik együtt, a személyes adatokat a munkáltató törli. Az email fiók szabálytalan használata miatt az Adatkezelő munkajogi jogkövetkezményeket alkalmazhat a munkavállalóval szemben.
4.9.10.2. Adattárolásra alkalmas eszközök használata
Az Adatkezelő munkavégzés céljából számítógépet, laptopot, tabletet, okostelefont, fényképezőgépet, kamerát vagy egyéb, adattárolásra alkalmas eszközt biztosíthat használatra a dolgozóinak.
Az adatbiztonság, illetve az informatikai rendszer védelme miatt az informatikai hálózatot üzemeltető, fenntartó rendszergazda vagy informatikus a számítógép tartalmába jogosult betekinteni, de az ily módon megismert adatokat harmadik személy számára - így a munkáltató részére sem - nem továbbítja.
Az ellenőrzés végrehajtására az ügyvezető, illetve a munkáltatói jogok gyakorlója jogosult. Az Adatkezelőnek biztosítja, hogy az ellenőrzés során a dolgozó jelen legyen. Az ellenőrzés előtt a dolgozót tájékoztatni kell arról, hogy ki, mikor, hogyan, mi alapján és miért ellenőrizhet, valamint hogyan tehet panaszt ez ellenőrzés ellen.
Az ellenőrzés során a fokozatosság elve szerint kell eljárni. Az Adatkezelő korlátozás nélkül vizsgálhatja, nem személyes célú fájlok tartalmát, azonban a személyes adatok, fájlok tartalmának megismerésére nem jogosult.
Amennyiben az ellenőrzés során bebizonyosodik, hogy a munkavállaló megsértette az adatkezelési szabályokat, fel kell szólítani, hogy haladéktalanul törölje a személyes adatokat. Amennyiben az ellenőrzés során a dolgozó nincs jelen, illetve nem működik együtt, a személyes adatokat a munkáltató törli.
4.10 Adatfeldolgozás
Az Adatkezelő adatkezelési tevékenységeihez adatfeldolgozót vehet igénybe.
Az adatfeldolgozásról a szolgáltatásról szóló megállapodásban kell rendelkezni, melynek tartalmánál figyelembe kell venni a hatályos adatvédelmi követelmények érvényesülését, különösen az adatfeldolgozás műveleteinek meghatározására, az adatkezelés garanciáira, az adatkezeléssel kapcsolatos tájékoztatási kötelezettségekre, az Adatkezelő ellenőrzési jogára tekintettel.
Az adatfeldolgozó tevékenységét rögzített követelményrendszer betartása mellett az adatkezelő utasításai alapján folytatja. Az adatfeldolgozói tevékenységet az adatkezelési nyilvántartásban (adatvagyonleltár) kell nyilvántartani.
Az adatfeldolgozói szerződéseknek legalább az alábbiakat kell tartalmaznia 7.sz. Függelék):
- a) az adatkezelő és az adatfeldolgozó személyét, elérhetőségét, ha az adatfeldolgozó rendelkezik adatvédelmi tisztviselővel, annak elérhetőségét,
- b) adatkezelés célját, céljait,
- c) az adatfeldolgozás jellegét, célját, időtartamát,
- d) az adatfeldolgozással érintett adatalanyok kategóriáit, a személyes adatok típusát, körét, mennyiségét,
- e) az adatfeldolgozó jogainak és kötelezettségeinek meghatározását, különösen annak rögzítését, hogy az adatfeldolgozó az adatkezelő kifejezett írásos utasításai alapján végezhet adatkezelési műveleteket, továbbá az esetlegesen bekövetkező adatvédelmi incidensek esetén követendő szabályok meghatározását,
- f) az elvégzett technikai műveletek megnevezését, módját,
- g) a feldolgozott személyes adatok további sorsát,
- h) annak rögzítését, hogy az adatfeldolgozó további adatfeldolgozót vehet-e igénybe,
- i) az adatkezelőt és az adatfeldolgozót terhelő technikai és szervezési intézkedések meghatározását, ezek igazolását az adatfeldolgozó részéről,
- j) az adatfeldolgozó azon alkalmazottai titoktartására vonatkozó rendelkezéseket, akik az adatfeldolgozásban részt vesznek,
- k) annak szabályozását, hogy az adatfeldolgozó milyen módon, eljárási rendet követve nyújt segítséget az érintettek jogait érintő kérelmek megválaszolásában,
- l) az adatkezelő ellenőrzési jogkörének biztosítását,
- m) az adatkezelő utasításadási rendjének meghatározását, beleértve az adatfeldolgozó azon kötelezettségét, hogy tájékoztassa az adatkezelőt, ha az adatkezelő által adott utasítás GDPR vagy egyéb vonatkozó jogszabályba ütközik.
4.11 Adatközlés, adattovábbítás, nyilvánosságra hozatal
4.11.1 Előfeltételek
Az Adatkezelő kijelenti, hogy az érintettek személyes adatainak továbbítására az egyes adatkezelések tekintetében, kizárólag jelen szabályzatban meghatározottak szerint és feltételek megvalósulása esetén kerül sor.
Harmadik fél részére adatot csak akkor továbbíthat, ha
- az érintett ehhez az adatkezelés során előzetesen hozzájárulását adta és ha az adatkezelés feltételei minden egyes adatra nézve teljesülnek;
- a törvény az adattovábbítást megengedi és az adatkezelés feltételei minden egyes személyes adatra nézve teljesülnek;
- az Adatkezelőre vonatkozó jogi kötelezettség teljesítése céljából szükséges;
- az Adatkezelő vagy harmadik személy jogos érdekének érvényesítése céljából szükséges, és ezen érdek érvényesítése a személyes adatok védelméhez fűződő jog korlátozásával arányban áll;
- a nemzetbiztonság, a honvédelem és a közbiztonság védelme, a bűncselekmények üldözése céljából az arra hatáskörrel rendelkező nemzetbiztonsági szerveknek, nyomozó hatóságoknak, bíróságoknak, valamint egyéb bírósági és nyomozó szervek jogszerű megkeresése esetén átadhatók az adattovábbítási kérésben megjelölt adatok tekintetében.
4.11.2 Adattovábbítások naplózása
Annak érdekében, hogy az érintett az adataival kapcsolatos információs önrendelkezési jogát megfelelően gyakorolni tudja, az Adatkezelő ügyviteli munkafolyamataiba kötelező beépíteni olyan naplózási rendszert, mely lehetővé teszi, hogy az érintett adatainak harmadik személy felé történő közlésére, beleértve a továbbítás idejét, a pontos adattartalmat, visszakereshetővé váljon. E naplózás elsődleges célja, hogy az Adatkezelő, a részéről fennálló tájékoztatási kötelezettségének eleget tudjon tenni az érintettek felé az adatkezelés időtartama alatt. Az adatközlésekről, adattovábbításokról az Adatkezelő a 6. sz függelék szerinti nyilvántartást vezet.
4.11.3 Adattovábbítás harmadik országba
Az Adatkezelő nem továbbít adatokat harmadik országba.
4.11.4 Nyilvánosságra hozatal
Az Adatkezelő személyes adatot csak akkor hozhat nyilvánosságra, ha erre megfelelő jogalappal rendelkezik.
Az Adatkezelő által készített, személyes adatokon is alapuló, de anonimizált statisztikai adatok szabadon nyilvánosságra hozhatók.
-
5. Az adatvédelem szervezete
5.1 Az Adatkezelő vezetője
Feladata az adatvédelmi tevékenység felügyelete, a szükséges erőforrások biztosítása, a megfelelő szabályzók kiadása. Az Adatkezelőnek nem indokolt adatvédelmi tisztviselő kinevezése, ezért a cégvezető valamennyi adatvédelmi kérdésben ellátja az irányítási, megfelelési és ellenőrzési feladatokat
5.2 Az Adatkezelő személyes adatok kezelését végző munkavállalói kötelesek:
- Az adatvédelmi szabályzatban foglaltakat betartani.
- Minden személyes adatra vonatkozó egyedi megkeresést megküldeni a cégvezetőnek, aki jogosult a megkeresés teljesítését illetően döntést hozni.
- Minden kérelemre történő személyes adat kiadása előtt szükséges a DPO-t értesíteni és vele egyeztetni.
Amennyiben az Adatkezelő munkavállalója nem tesz eleget kötelezettséginek, a szabályokat megsérti, akkor a munkaviszonyra vonatkozó szabályok szerint a munkáltató eljárás kezdeményezhet vele szemben.
5.3 Képzés
Az Adatkezelő a szabályzat felülvizsgálatát követően, illetve szükséges esetben adatvédelmi képzést tart munkavállalóinak a biztonság tudatosság fejlesztése érdekében, amin kötelező részvétel.