ADATVÉDELMI ÉS ADATKEZELÉSI SZABÁLYZAT

ADATVÉDELMI ÉS ADATKEZELÉSI SZABÁLYZAT
A testunk.hu, mint adatkezelő
az elvégzett hatástanulmány és eltéréselemzés, valamint az azok alapján
kialakított és végrehajtott akcióterv alapján
a természetes személyeknek a személyes adatok kezelése tekintetében történő
védelméről és az ilyen adatok szabad áramlásáról szóló, az Európai
Parlament és a Tanács (EU) 2016/679 Rendeletének (általános adatvédelmi
rendelet – jelen szabályozásban, a továbbiakban GDPR Rendelet)
történő megfelelés érdekében az alábbi szabályzatot alkotja.
1.) Általános rendelkezések
A Vállalkozás, mint adatkezelő jogosult a szerződésben foglalt szolgáltatás
nyújtása, valamint a vállalt kötelezettségek teljesítése érdekében, a természetes
személy ügyfél, valamint az ügyfelet képviselő természetes személy személyes
adataira vonatkozó szükséges dokumentumokat és nyilatkozatokat bekérni és az
azokban foglalt személyes adatokat kezelni a GDPR Rendelet, az egyéb
vonatkozó jogszabályok, valamint az ügyféllel kötött szerződések rendelkezései
alapján.
A szabályzat célja a Vállalkozás által a személyes adatok kezelésének,
feldolgozásának és az érintettek jogai érvényesítési, valamint mindezekkel
kapcsolatos felelősségi rendszer meghatározása.
A szabályzat rendelkezéseit alkalmazni kell valamennyi olyan személyre, akik a
Vállalkozás részére adatfeldolgozási, vagy közös adatkezelési tevékenységet
végeznek.
A személyes adatok kezelésének általános céljai:
• az Ügyfél, illetve képviselőjének azonosítása,
• a szerződésben foglalt jogok gyakorlása és kötelezettségek teljesítése
2
(ideértve a tranzakciók lebonyolítását) és ezek teljesítésének igazolása,
• a tranzakciókkal, vagy a Vállalkozás tevékenységével kapcsolatos
tájékoztatás és marketing,
• a Vállalkozás jogos érdekeinek érvényesítése,
• a szerződésben szabályozott jogviszony szerinti elszámolás,
• kapcsolattartás,
• a Vállalkozást az Ügyfél vonatkozásában esetleg terhelő
adókötelezettségek teljesítése.
Az egyes adatok kezelésének időtartama eltérő, részletesen az Adatleltárban (1.
számú melléklet), illetve táblázatos formában az Adatkezelési tájékoztatóban (4.
számú melléklet – nem munkavállalók, 5. számú melléklet – munkavállalók)
található.
A Vállalkozás adatkezelési alapelvei összhangban vannak az adatvédelemmel
kapcsolatos hatályos jogszabályokkal, így különösen az alábbiakkal:
– 2011. évi CXII. törvény – az információs önrendelkezési jogról és az
információ-szabadságról (Infotv.);
– Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április
27.) – a természetes személyeknek a személyes adatok kezelése
tekintetében történő védelméről és az ilyen adatok szabad áramlásáról,
valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános
adatvédelmi rendelet, GDPR);
– 2013. évi V. törvény – a Polgári Törvénykönyvről (Ptk.);
– 2000. évi C. törvény – a számvitelről (Számv. tv.);
2.) A szabályzat tárgyi hatálya
A szabályzat rendelkezéseit kell alkalmazni a Vállalkozás személyes adat
kezelésére, azzal kapcsolatos folyamatok szabályozására érvényesítésére, az
érintettek jogainak biztosítására.
3.) A szabályzat időbeli hatálya
3
A szabályzat rendelkezései az aláírás napján lépnek hatályba, azonban
rendelkezéseit 2018. május 25. napjától kell alkalmazni. A szabályzat
visszavonásig vagy további rendelkezésig hatályos.
4.) A szabályzat alapja
A szabályzat alapját a GDPR rendelet 35. cikke figyelembe vételével készített
helyzetfelmérés és eltérés elemzés eredménye képezi.
5.) Alapfogalmak
Jelen szabályzat alábbi alapfogalmai egyeznek a GDPR rendelet 4. cikkében
felsorolt alapfogalmakkal (lásd 2. számú melléklet), az alábbi kiegészítésekkel és
hozzáfűzött rendelkezésekkel:
Az adatgazdák: a szervezetnél működő informatikai rendszerek, alkalmazások
és adatbázisok adatainak „felelősei”. Feladatuk, hogy a hozzájuk tartozó adatbázis
biztonsági elvárásait (adatok minősítése, bizalmasságra, sértetlenségre,
rendelkezésre állásra, számon kérhetőségre, szerepkörök kötelező
szétválasztására stb. vonatkozó igények) meghatározzák, az adatokhoz történő
hozzáférést szabályozzák, ellenőrizzék.
Adatleltár: a személyes adatok típusának azonosításával kialakított lista
Adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt
vagy más módon kezelt személyes adatok véletlen vagy jogellenes
megsemmisítését, elvesztését, megváltoztathatóságát, jogosulatlan közlését vagy
az azokhoz jogosulatlan hozzáférést eredményezi.
Adatvédelmi hatásvizsgálat: az Adatkezelő által végzett eljárás, amelynek során
egy új szolgáltatás bevezetése, vagy módosítása során a folyamat során használt
személyes adatok körét, jogosultságát, tárolhatóságát, védelmét részletesen
elemzik.
4
Adatvédelmi szervezet: a Vállalkozás által, a munkavállalók és az adatvédelmi
tisztségviselő által működtetett munkafolyamatot alkotó személyek csoportja
(vázlatos bemutatása a 8. számú mellékletben)
Profilalkotás: a statisztikai következtetések sorozatát esetenként magában
foglaló eljárás, amelyet általában az egyénekkel kapcsolatos előrejelzések
megalkotása céljából használnak. Az egyén értékelése vagy osztályozása már
önmagában is profilalkotásnak minősülhet anélkül, hogy bármilyen előrejelzést
vagy következtetést vonnának le az eljárás eredményéből.
Rendezett íróasztal: olyan munkafolyamat, amelynek során a munkatársak csak
az aktuális munkavégzéshez használt dokumentumokat tartják asztalukon, a
munkaidő végeztével minden iratot elzárnak. Számítógépüktől való távozáskor a
képernyőt zárolják.
Nyilvántartási rendszer: minden olyan elektronikus és papíralapú nyilvántartás,
amelyek a GDPR hatálya alá tartozó személyes adatokat tartalmaznak, kezelnek,
vagy feldolgoznak.
Tevékenységi központ: a Vállalkozás székhelye (telephelye), akkor is, ha a
Vállalkozás a határon átnyúlóan végzett tevékenysége keretén belül kezel
személyes adatokat.
Felügyeleti hatóság (adatvédelemmel kapcsolatban): Nemzeti Adatvédelmi és
Információszabadság Hatóság (címe: 1125 Budapest, Szilágyi Erzsébet fasor 22c,
levelezési címe: 1530 Budapest, Pf..5; c; elérhetősége: Telefonon: +36 1 391
1400, fax: +36 (1) 391-1410; E-mail: ugyfelszolgalat@naih.hu; URL
http://naih.hu)
Tudomásszerzés: tudomásszerzésnek az tekinthető, amikor az adatkezelő
ésszerű mértékű bizonyossággal rendelkezik arról, hogy olyan biztonsági
esemény történt, amely személyes adatokkal kapcsolatos jogellenes műveletekhez
vezethet.
6.) A személyes adatok kezelésére vonatkozó elvek
5
A személyes adatok kezelésére a Vállalkozás a GDPR rendelet 5. cikkében
foglaltak szerint jár el. Ezen rendelkezések az alábbiakkal egészülnek ki, illetve
az alábbi módokon valósulnak meg.
– Jogszerűség, tisztességes eljárás és átláthatóság
A Vállalkozás adatkezelése és feldolgozása során, a GDPR rendelet, a magyar
jogi szabályozás és jelen szabályzat rendelkezéseit maradéktalanul be kell tartani.
A Vállalkozás valamennyi vezetőjének és munkatársának feladata olyan
folyamatok és eljárásrendek kialakítása, nyomtatványok és adatkezelési
hozzájárulások és nyilatkozatok készítése, amelyek ezen alapelvi
rendelkezéseknek teljes mértékben megfelelnek.
A Vállalkozás meghatározza, hogy a személyes adatok kezelése a szerződések
teljesítéséhez, a Vállalkozás jogi kötelezettsége teljesítéséhez szükséges. Ezek
hiányában a személyes adatkezelés kizárólag az érintett, tájékoztatáson alapuló
hozzájárulásával lehetséges.
Hozzájárulásos adatkezelés esetén a Vállalkozás az érintett hozzájárulását
igazolható módon: írásban, vagy rögzített telefonon szerzi be. A hozzájárulásos
adatkezelés esetén az érintett önkéntes hozzájárulása bármikor, indokolás nélkül
visszavonható, amelyről az érintettet minden esetben tájékoztatni szükséges.
Gyermekek személyes adatainak hozzájáruláson alapuló kezeléséhez az érintett
felett szülői felügyeletet gyakorló törvényes képviselője hozzájárulása szükséges.
Valamennyi adatkezelési módnál az érintettet tájékoztatni kell arról, hogy a
Vállalkozás milyen személyes adatokat kezel, milyen személyes adatot milyen
célból kinek ad át adatfeldolgozás céljából. A tájékoztatást elsősorban a
szerződési feltételekben kell rögzíteni és az érintettek részére a Vállalkozás
internetes felületén is elérhetővé kell tenni. Egyben biztosítani kell azt is, hogy az
érintett a Vállalkozástól a személyes adatainak kezeléséről, érintetti jogairól a
GDPR rendelet szerinti tájékoztatást kérelmére megkaphassa.
A Vállalkozás a személyes adatok különleges kategóriáit akkor kezelheti, ha
ehhez az érintett kifejezett hozzájárulását adja, vagy az érintett foglalkoztatását
6
szabályozó jogi előírásokból fakadó követelmény teljesítése miatt szükséges.
Üzemorvosi vizsgálat a munkaszerződés megkötéséhez és fenntartásához előírt.
A Vállalkozás büntetőjogi felelősség megállapítására vonatkozó személyes
adatkezelést nem végez. Ezen tilalom nem érinti azon hatósági határozatokat,
amelyek a Vállalkozás szolgáltatási igényét váltják ki.
– célhoz kötöttség
A Vállalkozás a személyes adatokat csak a működéséhez és szolgáltatásainak
teljesítéséhez szükséges célból kezeli. Ennek során nem vesz, és nem értékesít,
nem ad át és nem tesz harmadik személy számára hozzáférhetővé személyes
adatokat tartalmazó adatbázisokat.
– adattakarékosság
A Vállalkozás kizárólag annyi személyes adatot kezel, amennyi a törvényes
működéséhez és szerződéseinek kezeléséhez szükséges.
– pontosság
A Vállalkozás minden ésszerű és szükségszerű intézkedést megtesz a személyes
adatok pontossága és aktualizálása érdekében. A személyes adatokat a törvényi
rendelkezéseknek (pontosság), továbbá az érintetteknek a bejelentései alapján a
változásokat a rendszeren átvezeti.
– korlátozott tárolhatóság
A Vállalkozás haladéktalanul megszünteti a GDPR rendelet hatálya alá tartozó
azon személyes adatok kezelését, amelyeknél a célhoz kötöttség már nem
állapítható meg és az adat kezelésének megszüntetésére a jogszabály lehetőséget
ad.
– integritás és bizalmas jelleg
A Vállalkozás megteszi a méretének és tevékenységének elvárható színvonalú,
fejlett technikai és szervezeti védelmi intézkedéseket, amely a személyes adatok
kezelésének és feldolgozásának biztonságát az előírt módon biztosítja (rendezett
íróasztal). Ennek érdekében követelményrendszert támaszt minden olyan
adatfeldolgozóval, illetve közös adatkezelővel, akik a Vállalkozásnak GDPR
7
rendelet hatálya alá tartozó személyes adatait kezelik illetve az adatfeldolgozás
bármilyen fázisában részt vesznek.
– elszámoltathatóság
A Vállalkozás a szervezeti rendjét és adatkezelési rendszerét úgy építi ki, hogy a
személyes adatok kezelése és feldolgozása nyomon követhető legyen és képes
legyen arra, hogy egyes adatkezelési művelet és adatfeldolgozás során ki és
milyen adatműveletet hajtott végre.
7.) Az érintettek jogai és azok biztosítása
a.) Átlátható intézkedések
A Vállalkozás megteszi a szervezeti és technikai intézkedéseket annak érdekében,
hogy az érintett részére a GDPR Rendeletben meghatározott szempontok alapján
a személyes adatainak kezelésére vonatkozó tájékoztatást írásban vagy szóban
előírt határidőn belül (30 nap) meg tudja adni.
Az írásbeli tájékoztatást az érintettek részére a szerződéses kapcsolat létrejöttét, a
személyes adatok kezelését megelőzően kell adni:
– szerződések esetében a szerződés megkötésekor;
– más esetekben a személyes adatok megadásakor, vagy megismerésekor.
Az írásbeli tájékoztatás díjmentes. A tájékoztatás írásbelinek minősül az érintett
részére kialakított elektronikus felületen történő elektronikus levélben történő
megküldés is.
A tájékoztatás csak jogszabályban előírt esetekben tagadható meg.
Az adatgazdák gondoskodnak arról, hogy az érintettekkel való kapcsolatba lépést
szabályozó belső rendelkezések, a szerződési feltételek a tájékoztatásra is
kiterjedjenek, az ezirányú tájékoztatás az érintettek részére a Vállalkozás
honlapján is könnyen hozzáférhető legyen.
Az érintettek jogairól való szóbeli tájékoztatás feltétele az érintett
személyazonosságának megállapítása és a tájékoztatásra való jogosultság
feltételeinek fennállta. Az érintett kérelmére történő tájékoztatásért az érintett
személy adatainak adatgazdája felel.
8
b.)Rendelkezésre bocsátandó információk, ha a személyes adatok az
érintettől kerülnek beszerzésre
Az érintett részére nyújtott adatvédelmi tájékoztatónak az alábbi
alapinformációkra szükségszerűen kell kitérni:
– a Vállalkozás, mint adatkezelő személye és elérhetősége;
– az adatvédelmi tisztségviselő személye és elérhetősége;
– a személyes adatok kezelésének célja, valamint a kezelésének jogalapja
(hozzájáruláson, szerződés teljesítésén, vagy a Vállalkozás jogszabályi
kötelezettségének teljesítésén alapuló adatkezelés);
– az érintett személyes adatok kategóriái.
A személyes adatok megszerzésének időpontjában a tisztességes és átlátható
adatkezelés biztosítása érdekében az érintettet az alábbi kiegészítő információkról
kell tájékoztatni:
– a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges,
ezen időtartam meghatározásának szempontjai;
– amennyiben megállapítható a Vállalkozás, vagy egy harmadik fél jogos
érdeke, akkor ennek tényéről;
– amennyiben az adatkezelés jogalapja az érintett hozzájárulása, akkor a
személyes adatokhoz való hozzáféréshez, helyesbítéshez, törléshez,
kezelésének korlátozásához, a személyes adatkezelés elleni tiltakozáshoz
és az adathordozáshoz való jogról, valamint az adatkezeléshez való
hozzájárulás visszavonásának következményeiről;
– felügyeleti hatósághoz való panasz benyújtásának jogáról.
c.) Az érintett hozzáférési joga
A Vállalkozás az érintettnek a személyes adataihoz és az adatkezeléssel történő
információhoz való folyamatos hozzáférést az alábbiak szerint biztosítja.
9
– Az adatkezeléssel kapcsolatos általános információkat a honlapon;
– a szerződés teljesítésével kapcsolatos személyes adatokkal kapcsolatban a
szerződési feltételekben, vagy az ahhoz kiadott adatvédelmi
tájékoztatóban;
– konkrét érintettek vonatkozásában az egyedi személyes adataival
kapcsolatos műveletekről írásbeli, vagy szóbeli megkeresés alapján
d.)A helyesbítéshez való jog
Az érintett kérheti az adatainak helyesbítését, hiányos adatainak kiegészítését. Az
érintett kérelmének teljesítéséhez a Vállalkozás az érintett személytől okiratot
kérhet be, amelynek adatai alapján a helyesbítést vagy kiegészítést haladéktalanul,
de legkésőbb 3 munkanapon belül elvégzi.
e.) A törléshez való jog („az elfeledéshez való jog”)
A Vállalkozás az Adatvédelmi rendeletben meghatározott okokból
haladéktalanul, de legkésőbb 3 munkanapon belül törli az érintett személyes
adatait.
A törléshez való jog az érintettet nem illeti meg, amennyiben a személyes
adatainak teljesítése a Vállalkozás szerződési kötelezettségeinek, vagy
jogszabályból eredő kötelezettségeinek teljesítéséhez szükséges, vagy a
Vállalkozás jogos érdeke azt kívánja.
f.) Az adatkezelés korlátozásához való jog
Az adatkezelés korlátozására az érintett kérelme alapján kerülhet sor. Az érintett
ez irányú kérelme tárgyában az adatvédelmi tisztségviselő állásfoglalását kell
kikérni (ha van ilyen). Amennyiben ezen állásfoglalás szerint az adatkezelés
korlátozásának van helye, az adatgazda valamennyi adathordozón és
nyilvántartásában köteles megjelölni az érintett személyes adatait. A megjelölés
történhet az érintettet a nyilvántartásban történő azonosító szám megjelölésével,
vagy papíralapú dokumentáció esetén feljegyzésnek az iratok első oldalára történő
helyezésével.
10
g.) A személyes adatok helyesbítéséhez vagy törléséhez, illetve az
adatkezelés korlátozásához kapcsolódó értesítési kötelezettség
Az adatgazda az érintettet az adatok helyesbítéséről, törléséről, korlátozásáról
írásban köteles tájékoztatni.
h.)Az adathordozhatósághoz való jog
Az érintett jogosult a személyes adatainak széles körben használt, géppel
olvasható formátumban történő továbbításának kérésére. Az érintett ezen jogának
gyakorlására a GDPR rendelettől eltérően akkor is jogosult, ha adatainak
kezelését a Vállalkozás nem az érintett hozzájárulása alapján kezeli, feltéve ha az
adatkezelés automatizált módon történik.
i.) A tiltakozáshoz való jog és automatizált döntéshozatal egyedi ügyben
Az érintett saját helyzetével kapcsolatos okból bármikor tiltakozhat személyes
adatainak kezelése ellen, ha az adatkezelés jogalapja kizárólag a Vállalkozás vagy
egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen
érdekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető
jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé,
különösen, ha az érintett gyermek.
Az érintett személyes adatait jelölni kell, amennyiben a Vállalkozás azokat
közvetlen üzletszerzés érdekében kívánja felhasználni, vagy ilyen okból a
cégcsoport, vagy partner vállalkozás felé továbbítani. Az adatok továbbításához
való hozzájárulást szerződéses partnerenként kell az érintettől beszerezni és ezt a
rendszerben jelölni. A jelölésért az adatok rögzítését végző személy felel. A
személyes adatok közvetlen üzletszerzés érdekében történő kezelése esetén az
érintettek figyelmét az első kapcsolatfelvétel során kifejezetten fel kell hívni, és
az erre vonatkozó tájékoztatást egyértelműen és minden más információtól
elkülönítve kell megjeleníteni.
Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében
történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem
kezelhetők. Az ilyen módon történő adatkezelése ellen bármikor indokolás nélkül
11
tiltakozhat. A tiltakozás bejelentését a Vállalkozás bizonyítható formában történő
bejelentéshez köti. Ennek formája lehet rögzített telefonon vagy személyesen
történő bejelentés, email, levél, fax, vagy honlap üzenő-falán történő jelzés.
A Vállalkozás akkor alkalmaz automatizált döntéshozatalt egyedi ügyekben,
beleértve a profilalkotást, ha ahhoz az érintett kifejezetten hozzájárult. A
hozzájárulást az intézkedés alkalmazása előtt kell az érintettől beszerezni és azt a
rendszerben jelölni. Ilyen esetben az az érintettnek joga, hogy a Vállalkozás
részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel
szemben kifogást nyújtson be. Az automatizált döntéshozatal, ideértve a
profilalkotást is, a Vállalkozás nem alapozhatja a személyes adatok különleges
kategóriáira.
8.) A Vállalkozás adatkezelése és adatfeldolgozása, adatkapcsolati ábra
A Vállalkozás a helyzetelemzés adatai és folyamatos kockázatértékelés és a jelen
szabályzatban foglaltak alapján megfelelő technikai és szervezési intézkedéseket
hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok
kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket az
adatkezelő felülvizsgálja és szükség esetén naprakésszé teszi.
A Vállalkozás megfelelő technikai és szervezési intézkedéseket hajt végre annak
biztosítására, hogy a személyes adatok kezelése során a Rendelet szerint beépített
és alapértelmezett adatvédelem megfelelő módon valósuljon meg.
A Vállalkozás felmérte a hozzá beérkező adatok módját, a Vállalkozáson belüli
útját. Ezt az adatkapcsolati ábra tartalmazza, beleértve az egyes rendszerek
informatikai biztonsági védelmi leírását is. (Lásd 3. számú melléklet)
9.) Közös adatkezelés
A Vállalkozás közös adatkezelést valósíthat meg, ha az adatkezelés céljait és
eszközeit más adatkezelővel együtt határozza meg. Az ilyen adatkezelést a másik
adatkezelővel írásba kell foglalni és abban az érintettek számára kapcsolattartót
kell kijelölni.
12
10.) Adatfeldolgozás
A Vállalkozás az adatfeldolgozásához adatfeldolgozót vehet igénybe az alábbi
feltételekkel:
– az adatfeldolgozó megfelelő garanciákat nyújt az adatkezelés e rendelet
követelményeinek való megfelelését és az érintettek jogainak védelmét
Vállalkozás, megfelelő technikai és szervezési intézkedések
végrehajtására;
– a Vállalkozás előzetesen írásban tett eseti vagy általános felhatalmazása
nélkül az adatfeldolgozó további adatfeldolgozót nem vehet igénybe. Az
általános írásbeli felhatalmazás esetén az adatfeldolgozó tájékoztatja a
Vállalkozást minden olyan tervezett változásról, amely további
adatfeldolgozók igénybevételét vagy azok cseréjét érinti, ezzel biztosítva
lehetőséget az adatkezelőnek arra, hogy ezekkel a változtatásokkal
szemben kifogást emeljen;
– az adatfeldolgozó írásbeli szerződésben vállalja a Rendelet 28. cikk (3-5)
bekezdésében megjelölt feltételek teljesítését,
– továbbá az adatvédelmi incidensek haladéktalan jelentését a Vállalkozás
felé.
Adatfeldolgozási tevékenység igénybe vételére kizárólag akkor kerülhet sor, ha
az adatfeldolgozó a fenti feltételeket vállalja és a Vállalkozás meggyőződik arról,
hogy az adatfeldolgozó képes a szerződésben foglalt garanciális szabályokat
betartani és az érintettek jogai nem sérülnek.
11.) Az adatkezelési tevékenységek nyilvántartása
A Vállalkozás egyes szervezeti egységei az általuk rögzített és ezáltal kezelt
személyes adatokról a Rendelet 30. cikke szerinti nyilvántartást vezetnek.
A nyilvántartás vezetésére az adatgazdák kötelesek. Az adatgazdák feladatait a
jelen szabályzat tartalmazza.
Az adatgazda gondoskodik arról, hogy az adatot kezelő szervezeti egység
tevékenységét szabályozó belső rendelkezések (munkautasítások) a törlésre
határidőket és felelőst irányozzanak elő, továbbá a szervezeti intézkedéseket a
13
személyes adatok védelmére és az érintettek jogainak biztosításának konkrét
módjára.
12.) Adatvédelmi incidens
Az adatvédelmi incidenst észlelő személy, ideértve az adatfeldolgozót, is köteles
azt haladéktalanul jelenteni az adott személyes adat kezeléséért felelős
adatgazdának. Az adatgazda az incidensről jelentést készít. A jelentésnek
tartalmaznia kell a Rendelet 33. cikk (3) bekezdésében foglalt részletes adatokat
is (lásd 6. számú melléklet)
Az adatvédelmi felelős az incidensjelentés alapján kockázatértékelést végez.
Amennyiben az adatvédelmi incidens valószínűsíthetően kockázattal jár a
természetes személyek jogaira és szabadságaira nézve, az adatvédelmi felelős
legkésőbb az incidenst követő 72 órán belül bejelentést tesz az illetékes
hatóságnak, majd annak hatásairól, a kiküszöbölésére tett intézkedésekről
nyilvántartást vezet.
Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem
igazolására szolgáló indokokat is.
Az ügyvezető valamennyi adatvédelmi incidensről nyilvántartást vezet (6. számú
melléklet).
13.) Az érintett tájékoztatása az adatvédelmi incidensről
Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a
természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan
késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről a Rendelt
szerinti tartalommal.
Az érintett tájékoztatása nem kötelező, ha a következő feltételek bármelyike
teljesül:
14
a) az adatkezelő – már korábban – megfelelő technikai és szervezési védelmi
intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens
által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket
– mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való
hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az
adatokat;
b) az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket
tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett,
mérlegeléssel megállapítható magas kockázat a továbbiakban valószínűsíthetően
nem valósul meg;
c) a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az
érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan
hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony
tájékoztatását.
14.) Adatvédelmi tisztségviselő
A Vállalkozás adatvédelmi tisztviselőt nem alkalmaz
15.) Személyes adatok továbbítása
Személyes adatok harmadik országba, vagy nemzetközi szervezet részére történő
továbbítására megfelelőségi határozat, vagy megfelelő garanciák és jogorvoslati
lehetőségek biztosítása alapján, vagy a Rendeletben különös helyzetekben
biztosított eltérésekre előírt esetekben van helye.
16.) Jogorvoslati jogosultság
Minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál,
vagy bírósághoz forduljon– különösen a szokásos tartózkodási helye, a
15
munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban – ha az
érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a
Rendeletet.
17.) Telefonon történő kapcsolattartás
A Vállalkozás az Ügyféllel történt telefonbeszélgetést jogosult rögzíteni,
amelyről az Ügyfelet előzetesen tájékoztatja. A telefonbeszélgetés
kezdeményezésével, illetve tájékoztatást követő folytatásával az Ügyfél
hozzájárul a telefonbeszélgetés rögzítéséhez.
II.
A Vállalkozás speciális adatvédelmi rendelkezései
1.) Adatvédelmi hatásvizsgálat
A Vállalkozás köteles minden olyan esetben adatvédelmi hatásvizsgálatot
elvégezni, amikor olyan új technológiát alkalmaz, amely jellegére, hatókörére,
körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes
személyek jogaira és szabadságaira nézve. A hatásvizsgálatnak a Rendeletben
előírtakra kell kiterjednie (lásd 9. számú melléklet). Amennyiben az adatvédelmi
hatásvizsgálat megállapítja, hogy az adatkezelés az adatkezelő által a kockázat
mérséklése céljából tett intézkedések hiányában valószínűsíthetően magas
kockázattal jár, a személyes adatok kezelését megelőzően a Vállalkozás
adatvédelmi felelőse, vagy a hatásvizsgálat elvégzésével megbízott konzultál a
felügyeleti hatósággal.
2.) A Vállalkozás adatgazdái
– gondoskodnak arról, hogy meghatározzák azokat az adatköröket és azok
kezelésének célját, amelyeket a Vállalkozás kezel. Az adatkörök
feltérképezése során meg kell határozni a korábban vagy jelenleg kezelt
adatokat, azok kezelésének jogalapját, az adatfelvétel és az adatkezelés
teljes tartama során az érintettek részére nyújtott tájékoztatás tartalmát;
– gondoskodnak arról, hogy az adatok felvételére és az érintettek
tájékoztatására egységes sztenderdek alapján kerüljön sor. Ennek
16
érdekében minden olyan nyomtatványon, amelyen személyes adatok
felvételére kerül sor, a Rendelet követelményei szerinti adatvédelmi
tájékoztatót tüntetnek fel, továbbá a gondoskodnak arról is, hogy a
tájékoztató szövege a Vállalkozás honlapjára is kikerüljön;
– a külső partnerektől érkező adatok kezelésére és feldolgozására egységes
eljárási rendet dolgoznak ki és az abban foglalt rendelkezéseket a
partnerekkel kötött szerződésekben érvényesítik;
– meghatározzák azokat az adatköröket, amelyeket a Vállalkozás
adatfeldolgozásra kiad. Ennek során feltérképezik az egyes
adatfeldolgozási műveleteket, és adatfeldolgozónként feldolgozandó
adatok körét,
– gondoskodnak arról, hogy az adatfeldolgozókkal kötött szerződésekben az
egységes adatfeldolgozási elvek maradéktalanul érvényesüljenek,
– elkészítik és naprakészen tartják a személyes adatok kezelésével és
feldolgozásával kapcsolatos az eljárásrendeket;
– elkészítik az adatok törlésére, a személyes adatokat tartalmazó papíralapú
dokumentumok megsemmisítésére vonatkozó eljárásrendeket. Az ilyen
eljárásrendet egyeztetik az adatvédelmi tisztségviselővel és az alapján
megkezdik azon személyes adatok kezelésének megszüntetésére irányuló
eljárást, amelyeknél az adatkezelés jogi feltételei már nem állnak fenn.
3.) Incidens jelentési folyamat
Az ügyvezető kiépíti az incidens jelentési folyamatot. Az adatvédelmi incidens
megtörténtét az azt észlelő személy köteles az adatgazdának jelenteni, aki a
jelentés alapján vizsgálatot folytat, majd jelentését továbbítja az adatvédelmi
tisztségviselőnek.
Az adatvédelmi tisztségviselő a Rendelet 33. cikk szerinti vizsgálat
lefolytatását követően dönthet a felügyeleti hatóságnak történő bejelentésről
és az érintettek értesítéséről. Amennyiben az érintettek értesítése szükséges
ügyfelek és munkavállalók tekintetében az ügyvezető köteles erről
gondoskodni.
Az adatvédelmi incidensek bejelentését a NAIH által erre a célra kialakított
elektronikus felületen kell teljesíteni.
17
4.) Érintett tájékoztatási rendszerének kiépítése
Az érintettek tájékoztatási igényét az adatgazdák segítségével az érintett
személyes adatainak kezelését elsősorban ellátó szervezeti egység elégíti ki. A
személyes adatok kezelésével kapcsolatos panaszokat az ügyvezető vizsgálja
ki.
5.) Az egyes szervezeti egységek speciális adatvédelmi rendelkezései
a.) Adminisztráció, szerződéskezelés
Gondoskodni kell a létre nem jött szerződések során a személyes adatok
törléséről. Az adatok törlésének ki kell terjednie azokra az elektronikus és
egyéb levelekre is, amelyek személyes adatokat tartalmaznak és kezelésének
jogalapja megszűnt.
A nyilvántartási rendszerben gondoskodni kell arról, hogy amennyiben a
személyes adatok kezelés nem az érintett és az adatkezelő közötti szerződés
megkötése vagy teljesítése érdekében szükséges, akkor az eltérő jogalap
feltüntetésre kerüljön.
Gondoskodni kell arról, hogy a szerződés teljesítése során kizárólag olyan
személyes adatok bekérésére kerüljön sor, amely az érintett azonosításához a
jogszabályi rendelkezések előírnak, továbbá a szerződés teljesítéséhez
feltétlenül szükségesek. Amennyiben a személyes adatok különleges
kategóriáiba tartozó olyan adatok érkeznek a Vállalkozáshoz, amelyek a
szerződés teljesítéséhez szükségesek, a kezeléséhez az érintett (vagy a
jogosult) tájékoztatásán alapuló hozzájárulását be kell szerezni. Amennyiben
a személyes adatok különleges kategóriáiba tartozó olyan adatok érkeznek a
Vállalkozáshoz, amelyek a szerződés teljesítéséhez nem szükségesek, az ezt
tartalmazó iratot vissza kell küldeni.
18
Gondoskodni kell arról, hogy a kiskorúak személyes adatainak kezelésére csak
a törvényes képviselő hozzájárulása esetén kerülhessen sor.
Ki kell építeni az archiválási és adattörlési folyamatokat, ideértve a
papíralapon kezelt személyes adatok megsemmisítésének folyamatát is.
b.)Új szolgáltatás bevezetése
Ki kell alakítani a szerződéses feltételek és nyomtatványok esetében az
érintettek tájékoztatásának teljes körű rendszerét.
Amennyiben a személyes adatok különleges kategóriájának kezelése
szükséges, ki kell építeni az érintettek hozzájárulásának bizonyítható
rendszerét és a hozzájárulás visszavonásának lehetőségét, továbbá az ilyen
lehetőséggel való élés következményeinek rendszerét is.
c.) HR adatkezelés
A toborzás, ajánlás és jelentkezések során beérkező személyes adatokat
egységes adatbázisban havi bontásban kell nyilvántartani. A jelentkezők,
pályázók részére adatvédelmi tájékoztatást kell adni személyes adatainak
kezeléséről és annak végső határidejéről (lásd 7. számú melléklet). A
sikertelen pályázó, vagy jelentkező személyes adatait legkésőbb az adatainak
megismerését követő 12. hónapban törölni kell, papíralapon rögzített
személyes adatait meg kell semmisíteni.
A munkavállalókat tájékoztatni kell a személyes adatok kezeléséről és arról,
hogy az egyes személyes adatokat bérszámfejtési, társadalombiztosítási és
nyilvántartási célból kinek továbbítja. Egyben az adatfeldolgozónak a
Rendelet szerinti adatairól is tájékoztatását kell adni. Ki kell alakítani a
munkavállalók személyes adataihoz való hozzáférés jogosultsági rendszerét is,
amelyben meg kell határozni, hogy ki és milyen személyes adatokhoz fér
hozzá és kik jogosultak az adatok bővítésére, módosítására, kezelésének,
feldolgozásának megszüntetésére.
19
A munkavállalók egészségügyi adatai közül kizárólag a belépéskori és az
időszakos orvosi felülvizsgálat alkalmassági adatai kezelhetőek. A
munkavállaló képességével és személyiségével összefüggő, továbbá egyéb – a
személyes adatok különleges kategóriájába tartozó adatok – csak az érintett
hozzájárulásával kezelhetőek. Az ilyen adatok csak a munkavállaló
alkalmasságával összefüggőek lehetnek, egyéb ilyen adatok kezelésére nem
kerülhet sor.
Az adatfeldolgozóval közösen ki kell alakítani a személyes adatok kezelésének
megszüntetési rendszerét is azon adatok vonatkozásában, akik munkaviszonya
megszűnt.
d.)Informatikai biztonság
A Vállalkozás köteles kialakítani a jogosultsági rendszer technikai
paramétereit, amely alapján a Vállalkozás munkatársai és partnerei, továbbá
az ügyfelek a személyes adatokat kezelik.
Az adathordozhatóság feltételeit úgy kell meghatározni, hogy az érintett
kérésére valamennyi – a Vállalkozás által kezelt – személyes adatát
elektronikus, lakossági általános felhasználású szoftverrel olvasható legyen.
e.) Marketing
Üzletszerzési célú adatgyűjtésre kizárólag akkor kerülhet sor, ha a személyes
adatok kezelésének célját és módját előre meghatározzák. Az érintetteket az
adatfelvételt megelőzően tájékoztatni kell az adatkezelésről és jogaikról. Az
ilyen célú adatkezelés legfeljebb 6 hónapi időtartamig terjedhet, azt követően
az adatokat törölni kell, a papíralapon lévő adatokat pedig meg kell
semmisíteni.
A hírlevélre feliratkozó személyek személyes adatait kizárólag addig lehet
kezelni, amíg a hírlevélre való feliratozását vissza nem vonja, vagy az
adatkezeléséhez való hozzájárulását bármely formában visszavonja.
20
6.) Oktatás
A Vállalkozás számára fontos célkitűzés, hogy a munkatársak ismerjék, és
munkájuk során helyesen alkalmazzák az adatkezeléssel, valamint az
adatvédelemmel kapcsolatos lényeges szabályokat. Ehhez az szükséges, hogy
az adatkezelési és adatbiztonsági ismeretek a munkatársak képzésének szerves
részévé váljanak. Az adatvédelmi és adatbiztonsági ismeretekről a Vállalkozás
a munkatársakat belépéskor, majd évente oktatásban részesíti. A jelen
szabályzat hatálybalépése előtt is kell oktatást tartani. Az éves megújító oktatás
során be kell mutatni az új folyamatokat, szabályzatokat.

32
33
Adatvédelmi szervezet
A Vállalkozás ügyvezetése Adatvédelmi tisztviselő
Elvárások megfogalmazása és Megfelelés vizsgálata és
kommunikálása visszacsatolás
Az érintettek kérésére
tájékoztatás adása
A Vállalkozás középvezetői
A munkafolyamatba épített adatáramlások
előírásoknak való működtetése
A Vállalkozás adatgazdái
Az adatok felvétele, rögzítése, továbbítása, az adatokkal kapcsolatos
műveletek végrehajtása
34
Az adatvédelmi hatásvizsgálatra vonatkozó szempontok
1. módszeres leírás készült az adatfeldolgozásról (a 35. cikk (7) bekezdésének a) pontja):
2. figyelembe vették az adatkezelés jellegét, hatókörét, körülményeit és céljait ((90)
preambulum bekezdés);
3. a személyes adatokat, a címzetteket, valamint a személyes adatok tárolásának
időtartamát rögzítették;
4. funkcionális leírás készült az adatkezelési műveletről;
5. a személyes adatokhoz használt eszközöket (hardverek, szoftverek, hálózatok,
személyek, papírok vagy papíralapú továbbítási csatornák) azonosították;
6. figyelembe vették a jóváhagyott magatartási kódexek előírásainak teljesítését (a 35.
cikk (8) bekezdése);
7. értékelték a szükségességet és az arányosságot (a 35. cikk (7) bekezdésének b)
pontja):
8. a rendelet betartására irányuló intézkedéseket meghatározták (a 35. cikk (7)
bekezdésének d) pontja és a (90) preambulum bekezdés), figyelembe véve az
alábbiakat:
9. az adatkezelés arányosságát és szükségességét előmozdító intézkedések a
következők alapján:
10. meghatározott, kifejezett és jogos cél(ok) (az 5. cikk (1) bekezdésének b) pontja);
11. az adatkezelés jogszerűsége (6. cikk);
12. megfelelőek, relevánsak, és a szükséges adatokra korlátozódnak (az 5. cikk (1)
bekezdésének c) pontja);
13. korlátozott tárolási időtartam (az 5. cikk (1) bekezdésének e) pontja);
14. az érintettek jogait támogató intézkedések:
15. az érintetteknek nyújtott tájékoztatás (12., 13. és 14. cikk);
16. betekintési jog és az adathordozhatósághoz való jog (15. és 20. cikk);
17. a helyesbítéshez és a törléshez való jog (16., 17. és 19. cikk);
18. kifogásolási jog és az adatkezelés korlátozásához való jog (18., 19. és 21. cikk);
19. az feldolgozókkal fennálló kapcsolatok (28. cikk);
20. a nemzetközi adattovábbításhoz kapcsolódó garanciák (V. fejezet);
21. előzetes konzultáció (36. cikk);
22. az érintett jogait és szabadságait érintő kockázatokat kezelik (a 35. cikk (7)
bekezdésének c) pontja):
23. a kockázatok forrását, jellegét, egyediségét és súlyosságát felmérték (vö. (84)
preambulum bekezdés) vagy konkrétabban mindegyik kockázat (jogosulatlan
hozzáférés, nemkívánatos módosítás és az adatok eltűnése) esetében az érintettek
szemszögéből:
24. figyelembe vették a kockázatforrásokat ((90) preambulum bekezdés);
25. az érintettek jogaira és szabadságaira esetlegesen gyakorolt hatásokat
beazonosították olyan eseményekre vonatkozóan, mint a jogosulatlan hozzáférés, a
nemkívánatos módosítás és az adatok eltűnése;
26. az esetleg jogosulatlan hozzáféréshez, nemkívánatos módosításhoz vagy adatok
eltűnéséhez vezető veszélyeket beazonosították;
27. felmérték a valószínűséget és a súlyosságot ((90) preambulum bekezdés);
35
28. az említett kockázatok orvoslására irányuló intézkedéseket meghatározták (a 35. cikk
(7) bekezdésének d) pontja és a (90) preambulum bekezdés);
29. az érdekelteket bevonták:
30. kikérték az adatvédelmi tisztviselő tanácsát (a 35. cikk (2) bekezdése);
31. adott esetben kikérték az érintettek véleményét (a 35. cikk (9) bekezdése).