Az oldal bizonyos szolgáltatásait csak egy regisztrációs űrlap kitöltése és elküldése után lehet igénybe venni. Ez mindenki számára ingyenes!
Az űrlapban közölt adatokat az ESTV nem adja ki harmadik fél számára. A megadott adatok csak statisztikai célokat szolgálnak.
Amennyiben mégis visszaélést tapasztal, kérjük vegye fel a kapcsolatot velünk, hogy mielőbb orvosolhassuk a felmerült problémát!
A felhasználó ezeken felül regisztrációjával elfogadja, hogy az ESTV e-mailben tájékoztathatja akcióiról, nyereményjátékairól, stb.
A Google, mint külső szállító cookie-kat használ hirdetések megjelenítésére az Ön webhelyén.
A Google által használt DART cookie lehetővé teszi, hogy a felhasználók számára a hirdetéseket az Ön webhelyén és az internet egyéb helyein végzett látogatásaik alapján jelenítse meg.
A felhasználók kikapcsolhatják a DART cookie használatát a Google hirdetésekre és tartalmi hálózatra vonatkozó adatvédelmi irányelvek felkeresésével.
________________________________________________________________________________________________________
ADATVÉDELMI ÉS ADATBIZTONSÁGI SZABÁLYZAT
2021.
TARTALOMJEGYZÉK
I. A SZABÁLYZAT CÉLJA
II. A SZABÁLYZAT HATÁLYA
1. Személyi hatály
2. Időbeli hatály
III. FOGALOMMEGHATÁROZÁSOK
IV. ALAPELVEK
V. AZ ADATKEZELÉS JOGALAPJA
1. Az érintett hozzájárulása
2. Szerződés teljesítése
3. Az adatkezelőre vonatkozó jogi kötelezettség teljesítése, vagy az érintett, illetve más
természetes személy létfontosságú érdekeinek védelme
4. Közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtása, az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítése.
VI. AZ ADATOK MEGISMERÉSÉRE JOGOSULTAK KÖRE
VII. AZ ÉRINTETT SZEMÉLY JOGAI
1. Előzetes Tájékoztatáshoz való jog
2. Az érintett hozzáférési joga
3. Az érintett helyesbítéshez és törléshez való joga
3.1. A helyesbítéshez való jog
3.2. A törléshez való jog („az elfeledtetéshez való jog”)
4. Az adatkezelés korlátozásához való jog
5. A személyes adatok helyesbítéséhez, vagy törléséhez, illetve az adatkezelés
korlátozásához kapcsolódó értesítési kötelezettség
6. Az adathordozhatósághoz való jog
7. A tiltakozáshoz való jog
8. Az automatizált döntéshozatal alóli mentesség joga
9. Az érintett panasztételhez és jogorvoslathoz való joga
9.1. A felügyeleti hatóságnál történő panasztételhez való jog.
9.2. A bírósági jogorvoslathoz való jog
9.3. Kártérítés és sérelemdíj
9.4. A személyes adatokkal összefüggő jogok érvényesítése az érintett halálát követően
10. Korlátozások
11. Adatbiztonság
1. Adatbiztonsági intézkedések
2. Az adatvédelmi incidensről történő tájékoztatás
VIII. AZ ÉRINTETT KÉRELME ESETÉN ALKALMAZANDÓ ELJÁRÁS
IX. ADATVÉDELMI INCIDENS ESETÉN
ALKALMAZANDÓ ELJÁRÁS ÉS AZ ADATVÉDELMI TISZTVISELŐ
A. Az adatvédelmi incidens esetén alkalmazandó eljárás
B. Adatvédelmi tisztviselő
X. A VÁLLALKOZÁS MUNKAVISZONNYAL KAPCSOLATBAN FOLYTATOTT ADATKEZELÉSI TEVÉKENYSÉGEI
1. A Munkaviszony létesítését megelőzően folytatott adatkezelés
1.1. A munkavállalók felvételére irányuló pályáztatási eljárás során folytatott
adatkezelés
1.2.Munkakörre való alkalmassági vizsgálat során végzett adatkezelés
2. A munkaviszony fennállása alatt folytatott adatkezelés
2.1. Munkaügyi nyilvántartás keretében folytatott adatkezelés
2.2. A munkavállaló munkaviszonnyal összefüggő magatartásának ellenőrzése
2.3. Adatkezelő által a munkavállaló rendelkezésére bocsátott e-mail fiók használatával kapcsolatos adatkezelés
2.4. Munkavállaló rendelkezésére bocsátott laptop, tablet, telefon használat ellenőrzése
2.5.A munkavállaló munkahelyi internethasználatának ellenőrzése
2.6. A munkavállalókra vonatkozó eseti adatkezelés
XI. ADATKEZELÉSSEL ÉRINTETT EGYÉB TEVÉKENYSÉGEK ÉS KEZELT ADATKÖRÖK
1. Jogi kötelezettségen alapuló adatkezelés
1.1. Pénzmosás elleni kötelezettségek teljesítéséhez kapcsolódó adatkezelés
1.2. Számviteli kötelezettségek teljesítéséhez szükséges adatkezelés
1.3. Adó- és járulékkötelezettségek teljesítéséhez kapcsolódó adatkezelés
2. Információkérés, ajánlatkérés során végzett adatkezelés
3. Adatkezelő által üzemeltetett weboldallal összefüggő adatkezelés
4. Szerződés teljesítésével kapcsolatos adatkezelési tevékenység
XII. AZ ADATFELDOLGOZÁSSAL KAPCSOLATOS SZABÁLYOK
1. Az adatkezelő általános feladatai
2. Adatfeldolgozói tevékenység
XIII. AZ ADATBIZTONSÁGRA VONATKOZÓ RENDELKEZÉSEK
1. Az adatbiztonság megvalósításának elvei.
2. Adatkezelő informatikai nyilvántartásainak védelme
3. Adatkezelő papíralapú nyilvántartásainak védelme
XIV. EGYÉB RENDELKEZÉSEK
I. A SZABÁLYZAT CÉLJA
A Váci Városimázs Nonprofit Kft. (székhely: 2600 Vác, Kossuth utca 21..; Cégjegyzékszáma: 13 09 063279; továbbiakban: „Adatkezelő”) a 2016/679/EU rendelet (GDPR), valamint az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény alapján a jogszabályi rendelkezéseknek való maradéktalan megfelelés érdekében, a jelen adatvédelmi és adatbiztonsági szabályzatot (továbbiakban: „Szabályzat”) alkotja, amely az Adatkezelő székhelyén helyezi el, és ott mindenki számára elérhetővé teszi, és így bocsátja az Ügyfelei, valamint a vele kapcsolatban álló természetes és jogi személyek részére.
Jelen szabályzat az adatot rendelkezésre bocsátó Ügyfél, Munkavállaló valamint egyéb személyek személyes adatainak kezelési körét, módját, célját és felhasználásának egyéb körülményeit szabályozza. A Szabályzat egyben adatvédelmi tájékoztató is.
Az Adatkezelő jelen szabályzat elfogadásával deklarálja AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 RENDELETE (továbbiakban „GDPR”) 5. cikkében foglalt személyes adatok kezelésére vonatkozó elvek betartását.
Adatkezelő:
Cégnév: Váci Városimázs Nonprofit Kft.
Székhelye: 2600 Vác, Kossuth utca 21.
Cégjegyzékszám: 13 09 063279
elérhetősége: 06/27-510-900, 06-30/583-6767;
estv©estv.huhonlap:
Adatvédelmi tisztviselő:
Név: Dr. Szilágyi-Regő Renáta
Címe: 2600 Vác, Dombay J. u. 7.
E-mail:
szilagyi.rego.renata©gmail.comII. A SZABÁLYZAT HATÁLYA
1. Személyi hatály
Jelen szabályzat hatálya az Adatkezelőre és azon természetes személyekre terjed ki, akikre az adatkezelési tevékenysége kiterjed. A jelen szabályzatban rögzített adatkezelési tevékenység természetes személyek személyes adataira irányul. A szabályzat hatálya nem terjed ki az olyan személyes adatkezelésre, amely jogi személyekre, illetve amely különösen olyan vállalkozásokra vonatkozik, amelyeket jogi személyként hoztak létre, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat. Jogi személy az egyesület, a gazdasági társaság, a szövetkezet, az egyesülés és az alapítvány.
2. Időbeli hatály
Jelen szabályzat időbeli hatálya a megállapításának napjától további rendelkezésig, vagy a szabályzat visszavonásának napjáig áll fenn.
III. FOGALOMMEGHATÁROZÁSOK
1. „személyes adat”: az érintettre vonatkozó bármely információ;
2. „különleges adat”: a személyes adatok különleges kategóriáiba tartozó minden adat, azaz a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok,
3. „genetikai adat”: egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó minden olyan személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozó egyedi információt hordoz, és amely elsősorban az adott természetes személyből vett biológiai minta elemzéséből ered;
4. „biometrikus adat”: egy természetes személy fizikai, fiziológiai vagy viselkedési jellemzőire vonatkozó olyan, sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, mint például az arckép vagy a daktiloszkópiai adat;
5. „egészségügyi adat”: egy természetes személy testi vagy szellemi egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról;
6. „bűnügyi személyes adat”: a büntetőeljárás során vagy azt megelőzően a bűncselekménnyel vagy a büntetőeljárással összefüggésben, a büntetőeljárás lefolytatására, illetve a bűncselekmények felderítésére jogosult szerveknél, továbbá a büntetés-végrehajtás szervezeténél keletkezett, az érintettel kapcsolatba hozható, valamint a büntetett előéletre vonatkozó személyes adat;
7. „közérdekű adat”: az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében lévő és tevékenységére vonatkozó vagy közfeladatának ellátásával összefüggésben keletkezett, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől, így különösen a hatáskörre, illetékességre, szervezeti felépítésre, szakmai tevékenységre, annak eredményességére is kiterjedő értékelésére, a birtokolt adatfajtákra és a működést szabályozó jogszabályokra, valamint a gazdálkodásra, a megkötött szerződésekre vonatkozó adat;
8. „közérdekből nyilvános adat”: a közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét törvény közérdekből elrendeli;
9. „hozzájárulás”: az érintett akaratának önkéntes, határozott és megfelelő tájékoztatáson alapuló egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy az akaratát félreérthetetlenül kifejező más magatartás útján jelzi, hogy beleegyezését adja a rá vonatkozó személyes adatok kezeléséhez;
10. „adatkezelő”: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely - törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között - önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja;
11. „közös adatkezelő”: az az adatkezelő, aki vagy amely - törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között - az adatkezelés céljait és eszközeit egy vagy több másik adatkezelővel közösen határozza meg, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket egy vagy több másik adatkezelővel közösen hozza meg és hajtja végre vagy hajtatja végre az adatfeldolgozóval;
12. „adatkezelés”: az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése;
13. „bűnüldözési célú adatkezelés”: a jogszabályban meghatározott feladat- és hatáskörében a közrendet vagy a közbiztonságot fenyegető veszélyek megelőzésére vagy elhárítására, a bűnmegelőzésre, a bűnfelderítésre, a büntetőeljárás lefolytatására vagy ezen eljárásban való közreműködésre, a szabálysértések megelőzésére és felderítésére, valamint a szabálysértési eljárás lefolytatására vagy ezen eljárásban való közreműködésre, továbbá a büntetőeljárásban vagy szabálysértési eljárásban megállapított jogkövetkezmények végrehajtására irányuló tevékenységet folytató szerv vagy személy (a továbbiakban együtt: bűnüldözési adatkezelést folytató szerv) ezen tevékenység keretei között és céljából - ideértve az ezen tevékenységhez kapcsolódó személyes adatok levéltári, tudományos, statisztikai vagy történelmi célból történő kezelését is - (a továbbiakban együtt: bűnüldözési cél) végzett adatkezelése;
14. ’nemzetbiztonsági célú adatkezelés”: a nemzetbiztonsági szolgálatok jogszabályban meghatározott feladat- és hatáskörében végzett adatkezelése, valamint a rendőrség terrorizmust elhárító szervének jogszabályban meghatározott feladat- és hatáskörében végzett, a nemzetbiztonsági szolgálatokról szóló törvény hatálya alá tartozó adatkezelése;
15. „nyilvánosságra hozatal”: az adat bárki számára történő hozzáférhetővé tétele;
16. „adattörlés”: az adat felismerhetetlenné tétele oly módon, hogy a helyreállítása többé nem lehetséges;
17. „adatkezelés korlátozása”: a tárolt adat zárolása az adat további kezelésének korlátozása céljából történő megjelölése útján;
18. „adatmegsemmisítés”: az adatot tartalmazó adathordozó teljes fizikai megsemmisítése;
19. „adatfeldolgozás”: az adatkezelő megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által végzett adatkezelési műveletek összessége;
20. „adatfeldolgozó”: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely - törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között és feltételekkel - az adatkezelő megbízásából vagy rendelkezése alapján személyes adatokat kezel;
21. „adatfelelős”: az a közfeladatot ellátó szerv, amely az elektronikus úton kötelezően közzéteendő közérdekű adatot előállította, illetve amelynek a működése során ez az adat keletkezett;
22. „adatközlő”: az a közfeladatot ellátó szerv, amely - ha az adatfelelős nem maga teszi közzé az adatot - az adatfelelős által hozzá eljuttatott adatot honlapon közzéteszi;
23. „adatállomány”: az egy nyilvántartásban kezelt adatok összessége;
24. „harmadik személy”: olyan természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére irányuló műveleteket végeznek;
25. „EGT-állam”: az Európai Unió tagállama és az Európai Gazdasági Térségről szóló megállapodásban részes más állam, továbbá az az állam, amelynek állampolgára az Európai Unió és tagállamai, valamint az Európai Gazdasági Térségről szóló megállapodásban nem részes állam között létrejött nemzetközi szerződés alapján az Európai Gazdasági Térségről szóló megállapodásban részes állam állampolgárával azonos jogállást élvez;
26. „harmadik ország”: minden olyan állam, amely nem EGT-állam;
27. „adatvédelmi incidens”: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
28. „profilalkotás”: személyes adat bármely olyan - automatizált módon történő - kezelése, amely az érintett személyes jellemzőinek, különösen a munkahelyi teljesítményéhez, gazdasági helyzetéhez, egészségi állapotához, személyes preferenciáihoz vagy érdeklődéséhez, megbízhatóságához, viselkedéséhez, tartózkodási helyéhez vagy mozgásához kapcsolódó jellemzőinek értékelésére, elemzésére vagy előrejelzésére irányul;
29. „címzett”: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely részére személyes adatot az adatkezelő, illetve az adatfeldolgozó hozzáférhetővé tesz;
30. „álnevesítés”: személyes adat olyan módon történő kezelése, amely - a személyes adattól elkülönítve tárolt - további információ felhasználása nélkül megállapíthatatlanná teszi, hogy a személyes adat mely érintettre vonatkozik, valamint műszaki és szervezési intézkedések megtételével biztosítja, hogy azt azonosított vagy azonosítható természetes személyhez ne lehessen kapcsolni;
IV. ALAPELVEK
1./ Személyes adat kizárólag egyértelműen meghatározott jogszerű célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. A személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni („jogszerűség, tisztességes eljárás és átláthatóság”).
2./ Az adatkezelésnek minden szakaszában meg kell felelnie az adatkezelés céljának, az adatok felvételének és kezelésének tisztességesnek és törvényesnek kell lennie. Csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas.
3./ A személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük; minden ésszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatok haladéktalanul törlésre vagy helyesbítésre kerüljenek („pontosság”).
4./ A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető.
5./ A személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azok nem kezelhetőek ezekkel a célokkal össze nem egyeztethető módon.
6./ A személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a GDPR 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, a GDPR-ban az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel („korlátozott tárolhatóság”).
7./ A személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve („integritás és bizalmas jelleg”).
8./ Adatkezelő rögzíti, hogy az általa kezelt személyes adatokat székhelyén tárolja elektronikus állomány formájában, illetve papír alapú dokumentumokon az adatbiztonságra vonatkozó jogszabályi előírások megtartása mellett. Jelen rendelkezés valamennyi, az Adatkezelő által végzett adatkezelési- és adatfeldolgozói tevékenység tekintetében érvényes.
9./ Az adatkezelő felelős a jelen pontban foglaltaknak való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására („elszámoltathatóság”).
V. AZ ADATKEZELÉS JOGALAPJA
1. Az érintett hozzájárulása
1./ A személyes adatok kezelése jogszerűségének az érintett hozzájárulásán kell alapulnia, vagy valamely egyéb jogszerű, jogszabály által megállapított alappal kell rendelkeznie.
2./ Az érintett hozzájárulása alapján történő adatkezelés esetén az érintett a személyes adatainak kezeléséhez való hozzájárulását a következő formában adhatja meg:
a. írásban, személyes adatkezeléshez hozzájárulást adó nyilatkozati formában,
b. elektronikus úton, az Adatkezelő internetes weboldalán megvalósított kifejezett magatartásával, jelölőnégyzet kipipálásával, vagy ha az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi.
3./ A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak.
4./ Ha az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.
5./ A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed.
6./ Ha az érintett hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell előadni, érthető és könnyen hozzáférhető formában, világos és egyszerű nyelvezettel. Az érintett hozzájárulását tartalmazó ilyen nyilatkozat bármely olyan része, amely sérti e rendeletet, kötelező erővel nem bír.
7./ Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik.
8./ Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.
2. Szerződés teljesítése
1./ Az adatkezelés jogszerűnek minősül, ha az olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges, illetve az adatkezelés közfeladat ellátásához szükséges.
2./ A szerződés teljesítéséhez nem szükséges személyes adatok kezeléséhez való érintteti hozzájárulás nem lehet feltétele a szerződéskötésnek.
3. Az adatkezelőre vonatkozó jogi kötelezettség teljesítése, vagy az érintett, illetve más természetes személy létfontosságú érdekeinek védelme
1./ Az adatkezelés jogalapját jogi kötelezettség teljesítése esetén törvény határozza meg, így az érintett hozzájárulása az személyes adatainak kezeléséhez nem szükséges.
2./ Az Adatkezelő köteles tájékoztatni az érintettet az adatkezelés céljáról, jogalapjáról, időtartamáról az adatkezelő személyéről, továbbá a jogairól, a jogorvoslati lehetőségekről.
3./ Az Adatkezelő jogi kötelezettség teljesítése címén az érintett hozzájárulásának visszavonását követően jogosult kezelni azon adatkört, amely valamely rá vonatkozó jogi kötelezettség teljesítése végett szükséges.
4. Közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtása, az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítése.
1./ Az Adatkezelő vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett ésszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll.
2./ A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e ésszerűen arra, hogy adatkezelésre az adott célból kerülhet sor.
3./ Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre.
4./ Az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szervnek vagy személynek (a továbbiakban együtt: közfeladatot ellátó szerv) lehetővé kell tennie, hogy a kezelésében lévő közérdekű adatot és közérdekből nyilvános adatot - az e törvényben meghatározott kivételekkel - erre irányuló igény alapján bárki megismerhesse.
5./ Közérdekből nyilvános adat a közfeladatot ellátó szerv feladat- és hatáskörében eljáró személy neve, feladatköre, munkaköre, vezetői megbízása, a közfeladat ellátásával összefüggő egyéb személyes adata, valamint azok a személyes adatai, amelyek megismerhetőségét törvény előírja. A közérdekből nyilvános személyes adatok a célhoz kötött adatkezelés elvének tiszteletben tartásával terjeszthetőek. A közérdekből nyilvános személyes adatok honlapon történő közzétételére az Infotv. 1. melléklet és a közfeladatot ellátó személy jogállására vonatkozó külön törvény rendelkezései irányadóak.
6./ Ha törvény másként nem rendelkezik, közérdekből nyilvános adat a jogszabály vagy állami, illetőleg helyi önkormányzati szervvel kötött szerződés alapján kötelezően igénybe veendő vagy más módon ki nem elégíthető szolgáltatást nyújtó szervek vagy személyek kezelésében lévő, e tevékenységükre vonatkozó, személyes adatnak nem minősülő adat.
7./ Közérdekből nyilvános adatként nem minősül üzleti titoknak a központi és a helyi önkormányzati költségvetés, illetve az európai uniós támogatás felhasználásával, költségvetést érintő juttatással, kedvezménnyel, az állami és önkormányzati vagyon kezelésével, birtoklásával, használatával, hasznosításával, az azzal való rendelkezéssel, annak megterhelésével, az ilyen vagyont érintő bármilyen jog megszerzésével kapcsolatos adat, valamint az az adat, amelynek megismerését vagy nyilvánosságra hozatalát külön törvény közérdekből elrendeli. A nyilvánosságra hozatal azonban nem eredményezheti az olyan adatokhoz - így különösen a védett ismerethez - való hozzáférést, amelyek megismerése az üzleti tevékenység végzése szempontjából aránytalan sérelmet okozna, feltéve hogy ez nem akadályozza meg a közérdekből nyilvános adat megismerésének lehetőségét.
8./ A közérdekű adatok megismerése korlátozható uniós jogi aktus alapján az Európai Unió jelentős pénzügy- vagy gazdaságpolitikai érdekére tekintettel, beleértve a monetáris, a költségvetési és az adópolitikai érdeket is.
9./ A közfeladatot ellátó szerv feladat- és hatáskörébe tartozó döntés meghozatalára irányuló eljárás során készített vagy rögzített, a döntés megalapozását szolgáló adat a keletkezésétől számított tíz évig nem nyilvános. Ezen adatok megismerését - az adat megismeréséhez és a megismerhetőség kizárásához fűződő közérdek súlyának mérlegelésével - az azt kezelő szerv vezetője engedélyezheti.
10./ A döntés megalapozását szolgáló adat megismerésére irányuló igény – a 9. pontban meghatározott időtartamon belül - a döntés meghozatalát követően akkor utasítható el, ha az adat további jövőbeli döntés megalapozását is szolgálja, vagy az adat megismerése a közfeladatot ellátó szerv törvényes működési rendjét vagy feladat- és hatáskörének illetéktelen külső befolyástól mentes ellátását, így különösen az adatot keletkeztető álláspontjának a döntések előkészítése során történő szabad kifejtését veszélyeztetné.
11./ Jogszabály a döntés megalapozását szolgáló egyes adatok megismerhetőségének korlátozására a 9. pontban meghatározottnál rövidebb időtartamot állapíthat meg.
VI. AZ ADATOK MEGISMERÉSÉRE JOGOSULTAK KÖRE
A személyes adatokat az Adatkezelő a vonatkozó adatkezelési célhoz kapcsolódó hozzáférési jogosultságokkal rendelkező munkavállalói, illetve Adatkezelő részére szolgáltatási szerződések alapján adatfeldolgozási tevékenységet végző személyek, szervezetek ismerhetik meg, Adatkezelő által meghatározott terjedelemben és a tevékenységük végzéséhez szükséges mértékben.
VII. AZ ÉRINTETT SZEMÉLY JOGAI
Az érintett jogosult arra, hogy az adatkezelő és az annak megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatai vonatkozásában:
a) az adatkezeléssel összefüggő tényekről az adatkezelés megkezdését megelőzően tájékoztatást kapjon (előzetes tájékozódáshoz való jog),
b) kérelmére személyes adatait és az azok kezelésével összefüggő információkat az adatkezelő a rendelkezésére bocsássa (hozzáféréshez való jog),
c) kérelmére, illetve a szabályzatban, jogszabályban meghatározott további esetekben személyes adatait az adatkezelő helyesbítse, illetve kiegészítse (helyesbítéshez való jog),
d) kérelmére, illetve a szabályzatban, jogszabályban meghatározott további esetekben személyes adatai kezelését az adatkezelő korlátozza (az adatkezelés korlátozásához való jog),
e) kérelmére, illetve a szabályzatban, jogszabályban meghatározott további esetekben személyes adatait az adatkezelő törölje (törléshez való jog).
1. Előzetes tájékoztatáshoz való jog
1./ Az előzetes tájékozódáshoz való jog érvényesülése érdekében az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által végzett adatkezelési műveletek megkezdését megelőzően vagy legkésőbb az első adatkezelési művelet megkezdését követően haladéktalanul az érintett rendelkezésére bocsátja:
a) az Adatkezelőnek és - ha valamely adatkezelési műveletet adatfeldolgozó végez, az adatfeldolgozó - megnevezését és elérhetőségeit;
b) az adatvédelmi tisztviselő elérhetőségeit,
c) tervezett adatkezelés célját;
d) az érintettet az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (továbbiakban: Infotv.) alapján megillető jogok, valamint azok érvényesítése módjának ismertetését.
2./ Az 1./ pontban foglaltakkal egyidejűleg, azzal azonos módon vagy az érintettnek címzetten az adatkezelő az érintett számára tájékoztatást nyújt
a) az adatkezelés jogalapjáról,
b) a kezelt személyes adatok megőrzésének időtartamáról, ezen időtartam meghatározásának szempontjairól,
c) a kezelt személyes adatok továbbítása vagy tervezett továbbítása esetén az adattovábbítás címzettjeinek - ideértve a harmadik országbeli címzetteket és nemzetközi szervezeteket - köréről,
d) a kezelt személyes adatok gyűjtésének forrásáról és
e) az adatkezelés körülményeivel összefüggő minden további érdemi tényről.
3./ A 2. pontban foglaltak szerinti tájékoztatás teljesítését az elérni kívánt céllal arányosan az adatkezelő késleltetheti, a tájékoztatás tartalmát korlátozhatja, vagy a tájékoztatást mellőzheti, ha ezen intézkedése elengedhetetlenül szükséges:
a) az általa vagy részvételével végzett vizsgálatok vagy eljárások - így különösen a büntetőeljárás - hatékony és eredményes lefolytatásának;
b) a bűncselekmények hatékony és eredményes megelőzésének és felderítésének,
c) a bűncselekmények elkövetőivel szemben alkalmazott büntetések és intézkedések végrehajtásának;
d) a közbiztonság hatékony és eredményes védelmének;
e) az állam külső és belső biztonsága hatékony és eredményes védelmének, így különösen a honvédelem és a nemzetbiztonság; vagy
f) harmadik személyek alapvető jogai védelmének biztosításához.
2. Az érintett hozzáférési joga
1./ A hozzáféréshez való jog érvényesülése érdekében az érintettet kérelmére az adatkezelő tájékoztatja arról, hogy személyes adatait maga az adatkezelő, illetve a
megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó kezeli-e. Ha az érintett személyes adatait az adatkezelő vagy a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó kezeli, az adatkezelő a jelen bekezdésben meghatározottakon túl az érintett rendelkezésére bocsátja az érintett általa és a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatait, és közli vele
a) a kezelt személyes adatok forrásáról;
b) az adatkezelés céljáról és jogalapjáról;
c) a kezelt személyes adatok köréről;
d) a kezelt személyes adatok továbbítása esetén az adattovábbítás címzettjeinek - ideértve a harmadik országbeli címzetteket és nemzetközi szervezeteket – köréről;
e) a kezelt személyes adatok megőrzésének időtartamáról, ezen időtartam meghatározásának szempontjairól;
f) az érintettet az Infotv. alapján megillető jogok, valamint azok érvényesítése módjának ismertetéséről;
g) profilalkotás alkalmazásának esetén annak tényéről; és
h) az érintett személyes adatainak kezelésével összefüggésben felmerült adatvédelmi incidensek bekövetkezésének körülményeiről, azok hatásairól és az azok kezelésére tett intézkedésekről.
2./ Az érintett hozzáféréshez való jogának érvényesítését az adatkezelő az elérni kívánt céllal arányosan korlátozhatja vagy megtagadhatja, ha ezen intézkedés elengedhetetlenül szükséges a jelen szabályzat 1/4 pontjában meghatározott valamely érdek biztosításához.
A jelen pontban foglaltak szerinti intézkedés alkalmazása esetén az adatkezelő írásban, haladéktalanul tájékoztatja az érintettet:
a) a hozzáférés korlátozásának vagy megtagadásának tényéről, továbbá jogi és ténybeli indokairól, ha ezeknek az érintett rendelkezésére bocsátása az Infotv. 16. § (3) bekezdés a)-f) pontjában meghatározott valamely érdek érvényesülését nem veszélyezteti, valamint
b) az érintettet e törvény alapján megillető jogokról, valamint azok érvényesítésének módjáról, így különösen arról, hogy az érintett a hozzáféréshez való jogát a Hatóság közreműködésével is gyakorolhatja.
3./ Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a GDPR 46. cikk szerinti megfelelő garanciákról.
4./ Az Adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az Adatkezelő az adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.
3. Az érintett helyesbítéshez és törléshez való joga
3.1. A helyesbítéshez való jog
A helyesbítéshez való jog érvényesülése érdekében az adatkezelő, ha az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatok pontatlanok, helytelenek vagy hiányosak, azokat - különösen az érintett kérelmére - haladéktalanul pontosítja vagy helyesbíti, illetve ha az az adatkezelés céljával összeegyeztethető, az érintett által rendelkezésére bocsátott további személyes adatokkal vagy az érintett által a kezelt személyes adatokhoz fűzött nyilatkozattal kiegészíti (a továbbiakban együtt: helyesbítés).
Mentesül a fentiekben meghatározott kötelezettség alól az adatkezelő, ha
a) a pontos, helytálló, illetve hiánytalan személyes adatok nem állnak rendelkezésére és azokat az érintett sem bocsátja a rendelkezésére, vagy
b) az érintett által rendelkezésére bocsátott személyes adatok valódisága kétséget kizáróan nem állapítható meg.
Ha az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatokat helyesbíti, annak tényéről és a helyesbített személyes adatról tájékoztatja azt az adatkezelőt, amely részére a helyesbítéssel érintett személyes adatot továbbította.
3.2. A törléshez való jog („az elfeledtetéshez való jog”)
A törléshez való jog érvényesítése érdekében az adatkezelő haladéktalanul törli az érintett személyes adatait, ha
a) az adatkezelés jogellenes, így különösen, ha az adatkezelés
aa) az Infotv. 4. §-ában rögzített alapelvekkel ellentétes,
ab) célja megszűnt, vagy az adatok további kezelése már nem szükséges az adatkezelés céljának megvalósulásához,
ac) törvényben, nemzetközi szerződésben vagy az Európai Unió kötelező jogi aktusában meghatározott időtartama eltelt, vagy
ad) jogalapja megszűnt és az adatok kezelésének nincs másik jogalapja,
b) az érintett az adatkezeléshez adott hozzájárulását visszavonja vagy személyes adatainak törlését kérelmezi, kivéve, ha az adatok kezelése az Infotv. 5. § (1) bekezdés a) vagy c) pontján vagy (2) bekezdés b) pontján alapul,
c) az adatok törlését jogszabály, az Európai Unió jogi aktusa, a Hatóság vagy a bíróság elrendelte, vagy
d) az Infotv. 19. § (1) bekezdés b)-d) pontjában meghatározott időtartam eltelt.
4. Az adatkezelés korlátozásához való jog
1./ Az adatkezelés korlátozásához való jog érvényesülése érdekében az adatkezelő a 2./ potnban meghatározott adatkezelési műveletekre korlátozza az adatkezelést,
a) ha az érintett vitatja az adatkezelő, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatok pontosságát, helytállóságát vagy hiánytalanságát, és a kezelt személyes adatok pontossága, helytállósága vagy hiánytalansága kétséget kizáróan nem állapítható meg, a fennálló kétség tisztázásának időtartamára,
b) ha az Infotv. 20. § a) pontjában meghatározottak szerint az adatok törlésének lenne helye, de az érintett írásbeli nyilatkozata vagy az adatkezelő rendelkezésére álló információk alapján megalapozottan feltételezhető, hogy az adatok törlése sértené az érintett jogos érdekeit, a törlés mellőzését megalapozó jogos érdek fennállásának időtartamára,
c) ha az Infotv. 20. § a) pontjában meghatározottak szerint az adatok törlésének lenne helye, de az adatkezelő vagy más közfeladatot ellátó szerv által vagy részvételével végzett, jogszabályban meghatározott vizsgálatok vagy eljárások - így különösen büntetőeljárás - során az adatok bizonyítékként való megőrzése szükséges, ezen vizsgálat vagy eljárás végleges, illetve jogerős lezárásáig,
d) ha az Infotv. 20. § a) pontjában meghatározottak szerint az adatok törlésének lenne helye, de a 12. § (2) bekezdésében foglalt dokumentációs kötelezettség teljesítése céljából az adatok megőrzése szükséges, a 25/F. § (4) bekezdésben meghatározott időpontig.
2./ Az adatkezelés korlátozásának időtartama alatt a korlátozással érintett személyes adatokkal az adatkezelő, illetve az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó a tároláson túl egyéb adatkezelési műveletet kizárólag az érintett jogos érdekének érvényesítése céljából vagy törvényben, nemzetközi szerződésben, illetve az Európai Unió kötelező jogi aktusában meghatározottak szerint végezhet.
3./ Az 1./ a) pontban meghatározott adatkezelési korlátozás megszüntetése esetén az adatkezelő az adatkezelés korlátozásának feloldásáról az érintettet előzetesen tájékoztatja.
5. A személyes adatok helyesbítéséhez, vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség
1./ Ha az érintett kérelmét az adatkezelő, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatok helyesbítésére, törlésére vagy ezen adatok kezelésének korlátozására az adatkezelő elutasítja, az érintettet írásban, haladéktalanul tájékoztatja
a) az elutasítás tényéről, annak jogi és ténybeli indokairól, valamint
b) az érintettet e törvény alapján megillető jogokról, valamint azok érvényesítésének módjáról, így különösen arról, hogy az adatkezelő, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatok helyesbítésére, törlésére vagy ezen adatok kezelésének korlátozására vonatkozó jogát a Hatóság közreműködésével is gyakorolhatja.
2./ A 1./ a) pontban foglaltak szerinti tájékoztatás teljesítését az adatkezelő az elérni kívánt céllal arányosan késleltetheti, a tájékoztatás tartalmát korlátozhatja vagy a tájékoztatást mellőzheti, ha ezen intézkedése elengedhetetlenül szükséges az Infotv. 16. § (3) bekezdés a)-f) pontjában meghatározott valamely érdek biztosításához.
3./ Ha az adatkezelő az általa, illetve a megbízásából vagy rendelkezése szerint eljáró adatfeldolgozó által kezelt személyes adatokat helyesbíti, törli vagy ezen adatok kezelését korlátozza, az adatkezelő ezen intézkedés tényéről és annak tartalmáról értesíti azon adatkezelőket és adatfeldolgozókat, amelyek részére az adatot ezen intézkedését megelőzően továbbította, annak érdekében, hogy azok a helyesbítést, törlést vagy az adatok kezelésének korlátozását a saját adatkezelésük tekintetében végrehajtsák.
6. Az adathordozhatósághoz való jog
1./ Az érintett jogosult arra, hogy a rá vonatkozó, általa egy Adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az Adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha:
a) az adatkezelés a GDPR 6. cikk (1) bekezdésének a) pontja (érintett hozzájárulása a személyes adatok kezeléséhez) vagy a GDPR 9. cikk (2) bekezdésének a) pontja (érintett kifejezett hozzájárulása az adatkezeléshez) szerinti hozzájáruláson, vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen alapul; és
b) az adatkezelés automatizált módon történik.
2./ Az adatok hordozhatóságához való jog 1./ pont szerinti gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.
3./ Az 1./ pontban említett jog gyakorlása nem sértheti a GDPR 17. cikkét. Az említett jog nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.
4./ Az 1./ pontban említett jog nem érintheti hátrányosan mások jogait és szabadságait.
7. A tiltakozáshoz való jog
1./ Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a közérdekű vagy közhatalmi jogosítvány gyakorlásának keretében megvalósuló adatkezelése, illetve az Adatkezelő, vagy harmadik fél jogos érdekeinek érvényesítéséhez szükséges adatkezelés ellen (a GDPR 6. cikk (1) bekezdésének e) vagy f) pontján alapuló adatkezelés) ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben az Adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.
2./ Az 1./ pontban említett jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.
3./ Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja.
4./ Ha a személyes adatok kezelésére a GDPR 89. cikk (1) bekezdésének megfelelően tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség.
8. Az automatizált döntéshozatal alóli mentesség joga
1./ Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené.
2./ Az 1. pont nem alkalmazandó abban az esetben, ha a döntés:
a) az érintett és az Adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges;
b) meghozatalát az Adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy
c) az érintett kifejezett hozzájárulásán alapul.
3./ A 2./ a) és c) pontban említett esetekben az Adatkezelő köteles megfelelő intézkedéseket tenni az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében, ideértve az érintettnek legalább azt a jogát, hogy az adatkezelő részéről emberi beavatkozást kérjen, álláspontját kifejezze, és a döntéssel szemben kifogást nyújtson be.
4./ A 2./ pontban említett döntések nem alapulhatnak a személyes adatoknak a GDPR 9. cikk (1) bekezdésében említett különleges kategóriáin, kivéve, ha a 9. cikk (2) bekezdésének a) vagy g) pontja alkalmazandó, és az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében megfelelő intézkedések megtételére került sor.
9. Az érintett panasztételhez és jogorvoslathoz való joga
9.1. A felügyeleti hatóságnál történő panasztételhez való jog.
1./ Jogainak érvényesítése érdekében az érintett
a) a Hatóság vizsgálatát kezdeményezheti az adatkezelő intézkedése jogszerűségének vizsgálata céljából, ha az adatkezelő az Infotv. 14. §-ban meghatározott jogainak érvényesítését korlátozza vagy ezen jogainak érvényesítésére irányuló kérelmét elutasítja, valamint
b) a Hatóság adatvédelmi hatósági eljárásának lefolytatását kérelmezheti, ha megítélése szerint személyes adatainak kezelése során az adatkezelő, illetve az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó megsérti a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírásokat.
2./ Panasztételhez való jogát az érintett az alábbi elérhetőségeken gyakorolhatja:
Nemzeti Adatvédelmi és Információszabadság Hatóság
cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c
Telefon: +36 (1) 391-1400;
Fax: +36 (1) 391-1410
www:
e-mail:
ugyfelszolgalat©naih.huA felügyeleti hatóság, amelyhez a panaszt benyújtották, köteles tájékoztatni az ügyfelet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy a GDPR rendelkezései alapján az ügyfél jogosult bírósági jogorvoslattal élni.
9.2. A bírósági jogorvoslathoz való jog
1./ Az érintett az adatkezelő, illetve - az adatfeldolgozó tevékenységi körébe tartozó adatkezelési műveletekkel összefüggésben - az adatfeldolgozó ellen bírósághoz fordulhat, ha megítélése szerint az adatkezelő, illetve az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó a személyes adatait a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírások megsértésével kezeli.
2./ Azt, hogy az adatkezelés a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírásoknak megfelel, az adatkezelő, illetve az adatfeldolgozó köteles bizonyítani.
3./ A pert az érintett - választása szerint - a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja.
4./ A perben fél lehet az is, akinek egyébként nincs perbeli jogképessége. A perbe a Hatóság az érintett pernyertessége érdekében beavatkozhat.
5./ Ha a bíróság a keresetnek helyt ad, a jogsértés tényét megállapítja és az adatkezelőt, illetve az adatfeldolgozót
a) a jogellenes adatkezelési művelet megszüntetésére,
b) az adatkezelés jogszerűségének helyreállítására, illetve
c) az érintett jogai érvényesülésének biztosítására pontosan meghatározott magatartás tanúsítására
kötelezi, és szükség esetén egyúttal határoz a kártérítés, sérelemdíj iránti igényről is.
6./ A bíróság elrendelheti ítéletének - az adatkezelő, illetve adatfeldolgozó azonosító adatainak közzétételével történő - nyilvánosságra hozatalát, ha az ítélet személyek széles körét érinti, ha az alperes adatkezelő, illetve adatfeldolgozó közfeladatot ellátó szerv, vagy ha a bekövetkezett jogsérelem súlya a nyilvánosságra hozatalt indokolja.
9.3. Kártérítés és sérelemdíj
1./ Ha az adatkezelő, illetve az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírásokat megsérti és ezzel másnak kárt okoz, köteles azt megtéríteni.
2./ Ha az adatkezelő, illetve az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírásokat megsérti és ezzel más személyiségi jogát megsérti, az, akinek személyiségi joga sérelmet szenvedett, az adatkezelőtől, illetve az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozótól sérelemdíjat követelhet.
3./ Az adatkezelő mentesül az okozott kárért való felelősség és a sérelemdíj megfizetésének kötelezettsége alól, ha bizonyítja, hogy a kárt vagy a személyiségi jog megsértésével okozott jogsérelmet az adatkezelés körén kívül eső elháríthatatlan ok idézte elő.
4./ Az adatfeldolgozó mentesül az okozott kárért való felelősség és a sérelemdíj megfizetésének kötelezettsége alól, ha bizonyítja, hogy az általa végzett adatkezelési műveletek során a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségek, valamint az adatkezelő jogszerű utasításainak betartásával járt el.
5./ Az adatkezelő és az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó, továbbá a közös adatkezelők és az általuk megbízott vagy rendelkezésük alapján eljáró adatfeldolgozók a személyes adatok kezelésére vonatkozó, jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírások megsértésével okozott
a) kárért az érintettel szemben egyetemlegesen felelnek, valamint
b) személyiségi jogsértés esetén járó sérelemdíjat egyetemlegesen kötelesek megfizetni az érintettnek.
6./ Nem kell megtéríteni a kárt és nem követelhető a sérelemdíj annyiban, amennyiben a kár a károsult vagy a személyiségi jog megsértésével okozott jogsérelem a személyiségi jogi jogsérelmet szenvedő személy szándékos vagy súlyosan gondatlan magatartásából származott.
9.5. A személyes adatokkal összefüggő jogok érvényesítése az érintett halálát követően
1./ Az érintett halálát követő öt éven belül a hozzáféréshez való jog, valamint a törléshez való jog, illetve - az általános adatvédelmi rendelet hatálya alá tartozó adatkezelési műveletek esetén - az GDPR 15-18. és 21. cikkében meghatározott, az elhaltat életében megillető jogokat az érintett által arra ügyintézési rendelkezéssel, illetve közokiratban vagy teljes bizonyító erejű magánokiratban foglalt, az adatkezelőnél tett nyilatkozattal - ha az érintett egy adatkezelőnél több nyilatkozatot tett, a későbbi időpontban tett nyilatkozattal - meghatalmazott személy jogosult érvényesíteni.
2./ Ha az érintett nem tett az 1. pontnak megfelelő jognyilatkozatot, a Polgári Törvénykönyv szerinti közeli hozzátartozója annak hiányában is jogosult ha az adatkezelés már az érintett életében is jogellenes volt vagy az adatkezelés célja az érintett halálával megszűnt az elhaltat életében megillető jogokat érvényesíteni az érintett halálát követő öt éven belül. Az érintett jogainak e bekezdés szerinti érvényesítésére az a közeli hozzátartozó jogosult, aki ezen jogosultságát elsőként gyakorolja.
3./ Az érintett jogait az 1./ és 2./ pont alapján érvényesítő személyt e jogok érvényesítése - így különösen az adatkezelővel szembeni, valamint a Hatóság, illetve bíróság előtti eljárás - során az e törvény által az érintett részére megállapított jogok illetik meg és kötelezettségek terhelik.
4./ Az érintett jogait az 1./ és 2./ pont alapján érvényesítő személy az érintett halálának tényét és idejét halotti anyakönyvi kivonattal vagy bírósági határozattal, valamint saját személyazonosságát - és a 2./ pont szerinti esetben közeli hozzátartozói minőségét - közokirattal igazolja.
5./ Az adatkezelő kérelemre tájékoztatja az érintett Polgári Törvénykönyv szerinti közeli hozzátartozóját az 1./ illetve 2./ pont alapján megtett intézkedésekről, kivéve, ha azt az érintett az 1./pontban meghatározott nyilatkozatában megtiltotta.
10. Korlátozások
1./ Az Adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a GDPR 12–22. cikkben és a 34. cikkben foglalt, valamint a GDPR 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében a GDPR 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban:
a) nemzetbiztonság;
b) honvédelem;
c) közbiztonság;
d) bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása, illetve büntetőjogi szankciók végrehajtása, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését;
e) az Unió vagy valamely tagállam egyéb fontos, általános közérdekű célkitűzései, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket, a népegészségügyet és a szociális biztonságot;
f) a bírói függetlenség és a bírósági eljárások védelme;
g) a szabályozott foglalkozások esetében az etikai vétségek megelőzése, kivizsgálása, felderítése és az ezekkel kapcsolatos eljárások lefolytatása;
h) az a)–e) és a g) pontban említett esetekben – akár alkalmanként – a közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenység;
i) az érintett védelme vagy mások jogainak és szabadságainak védelme;
j) polgári jogi követelések érvényesítése.
2./ Az 1. / pontban említett jogalkotási intézkedések adott esetben részletes rendelkezéseket tartalmaznak legalább:
a) az adatkezelés céljaira vagy az adatkezelés kategóriáira,
b) a személyes adatok kategóriáira,
c) a bevezetett korlátozások hatályára,
d) a visszaélésre, illetve a jogosulatlan hozzáférésre vagy továbbítás megakadályozását célzó garanciákra,
e) az Adatkezelő meghatározására vagy az adatkezelők kategóriáinak meghatározására,
f) az adattárolás időtartamára, valamint az alkalmazandó garanciákra, figyelembe véve az adatkezelés vagy az adatkezelési kategóriák jellegét, hatályát és céljait,
g) az érintettek jogait és szabadságait érintő kockázatokra, és
h) az érintettek arra vonatkozó jogára, hogy tájékoztatást kapjanak a korlátozásról, kivéve, ha ez hátrányosan befolyásolhatja a korlátozás célját.
11. Adatbiztonság
1./ Adatbiztonsági intézkedések
1./ Az adatkezelő és az adatfeldolgozó a kezelt személyes adatok megfelelő szintű biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető - így különösen az érintettek különleges adatainak kezelésével járó - kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket tesz.
2./ Az 1./ pontban meghatározott intézkedések kialakítása és végrehajtása során az adatkezelő és az adatfeldolgozó figyelembe veszi az adatkezelés összes körülményét, így különösen a tudomány és a technológia mindenkori állását, az intézkedések megvalósításának költségeit, az adatkezelés jellegét, hatókörét és céljait, továbbá az érintettek jogainak érvényesülésére az adatkezelés által jelentett változó valószínűségű és súlyosságú kockázatokat.
3./ Az adatkezelő és tevékenységi körében az adatfeldolgozó az 1./ pontban meghatározott intézkedésekkel biztosítja:
a) az adatkezeléshez használt eszközök (a továbbiakban: adatkezelő rendszer) jogosulatlan személyek általi hozzáférésének megtagadását,
b) az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozását,
c) az adatkezelő rendszerbe a személyes adatok jogosulatlan bevitelének, valamint az abban tárolt személyes adatok jogosulatlan megismerésének, módosításának vagy törlésének megakadályozását,
d) az adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozását,
e) azt, hogy az adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben meghatározott személyes adatokhoz férjenek hozzá,
f) azt, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely címzettnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésére,
g) azt, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat, mely időpontban, ki vitt be az adatkezelő rendszerbe,
h) a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása közben történő jogosulatlan megismerésének, másolásának, módosításának vagy törlésének megakadályozását,
i) azt, hogy üzemzavar esetén az adatkezelő rendszer helyreállítható legyen, valamint
j) azt, hogy az adatkezelő rendszer működőképes legyen, a működése során fellépő hibákról jelentés készüljön, továbbá a tárolt személyes adatokat a rendszer hibás működtetésével se lehessen megváltoztatni.
4./ A különböző nyilvántartásokban elektronikusan kezelt adatállományok védelme érdekében az adatkezelő, illetve tevékenységi körében az adatfeldolgozó megfelelő műszaki megoldással biztosítja, hogy a nyilvántartásokban tárolt adatok - kivéve, ha azt törvény lehetővé teszi - közvetlenül ne legyenek összekapcsolhatók és az érintetthez rendelhetők.
2./ Az adatvédelmi incidensről történő tájékoztatás
1./ Ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (a továbbiakban: magas kockázatú adatvédelmi incidens), a nemzetbiztonsági célú adatkezelés kivételével az adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja.
2./ Az 1./ pontban említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit, az adatvédelmi incidensből eredő, valószínűsíthető következményeket, az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.
3./ Az érintettet nem kell az 1. pontban említettek szerint tájékoztatni, ha a következő feltételek bármelyike teljesül:
a) az adatkezelő az adatvédelmi incidenssel érintett adatok tekintetében az adatvédelmi incidenst ő - így különösen az adatokat a jogosulatlan személy általi hozzáférés esetére értelmezhetetlenné alakító, azok titkosítását eredményező - műszaki és szervezési védelmi intézkedéseket alkalmazott,
b) az adatkezelő az adatvédelmi incidensről való tudomásszerzését követően alkalmazott intézkedésekkel biztosította, hogy az adatvédelmi incidens folytán az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következmények valószínűsíthetően nem következnek be,
c) az érintett közvetlen tájékoztatása csak az adatkezelő aránytalan erőfeszítésével lenne teljesíthető, ezért az adatkezelő az érintettek részére az adatvédelmi incidenssel összefüggő megfelelő tájékoztatást bárki által hozzáférhető módon közzétett információk útján biztosítja, vagy
d) törvény a tájékoztatást kizárja.
4./ Ha az Adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett tájékoztatását, vagy megállapíthatja a 3./ pontban említett feltételek valamelyikének teljesülését.
VIII. AZ ÉRINTETT KÉRELME ESETÉN ALKALMAZANDÓ ELJÁRÁS
1./ Adatkezelő elősegíti az érintett jogainak gyakorlását, az érintett jelen szabályzatban is rögzített jogainak gyakorlására irányuló kérelem teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani.
2./ Adatkezelő az érintett által benyújtott, az őt megillető jogosultságok érvényesítésére irányuló kérelmet annak benyújtásától számított legrövidebb idő alatt, de legfeljebb huszonöt napon belül elbírálja és döntéséről az érintettet írásban vagy ha az érintett a kérelmet elektronikus úton nyújtotta be, elektronikus úton értesíti.
3./ Ha Adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított 25 napon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be a felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.
4./ Adatkezelő a GDPR 13. és 14. cikke szerinti, jelen szabályzat VI. fejezet 1. pontban részletezett információkat és a GDPR 15–22. és 34. cikk szerinti tájékoztatást és intézkedést (visszajelzés a személyes adatok kezeléséről, hozzáférés a kezelt adatokhoz, adatok helyesbítése, kiegészítése, törlése, adatkezelés korlátozása, adathordozhatóság, tiltakozás az adatkezelés ellen, az adatvédelmi incidensről való tájékoztatás) díjmentesen biztosítja az érintett számára.
5./ Ha az érintett
a) a folyó évben, azonos adatkörre vonatkozóan az Infotv. 14. § b)-e) pontjaiban meghatározott jogai érvényesítése iránt ismételten kérelmet nyújt be, és
b) e kérelme alapján az adatkezelő vagy az általa megbízott vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatainak helyesbítését, törlését vagy az adatkezelés korlátozását az adatkezelő jogszerűen mellőzi,
az adatkezelő az érintett jogainak az a) és b) pontban foglaltak szerinti ismételt és megalapozatlan érvényesítésével összefüggésben közvetlenül felmerült költségeinek megtérítését követelheti az érintettől.
6./ Ha megalapozottan feltehető, hogy az Infotv. 14. § b)-e) pontjában meghatározott jogok érvényesítése iránt kérelmet benyújtó személy az érintettel nem azonos személy, az adatkezelő a kérelmet az azt benyújtó személy személyazonosságának hitelt érdemlő igazolását követően teljesíti.
IX. ADATVÉDELMI INCIDENS ESETÉN ALKALMAZANDÓ ELJÁRÁS ÉS AZ ADATVÉDELMI TISZTVISELŐ
A. Az adatvédelmi incidens esetén alkalmazandó eljárás
1./ Adatvédelmi incidens az adatbiztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
2./ Adatvédelmi incidensnek minősül a személyes adatokat tartalmazó eszköz (laptop, mobiltelefon) elvesztése, vagy ellopása, illetve az is annak minősül, ha az adatkezelő által titkosított állomány visszafejtésére szolgáló kód elvesztése, hozzáférhetetlenné válása, ransomware (zsarolóvírus) általi fertőzés, amely a váltságdíj megfizetéséig hozzáférhetetlenné teszi az adatkezelő által kezelt adatokat, az informatikai rendszer megtámadása, tévesen elküldött személyes adatokat tartalmazó e-mail, címlista nyilvánosságra hozatala stb.
3./ Az adatvédelmi incidens észlelése esetén Adatkezelő képviselője haladéktalanul vizsgálatot folytat le az adatvédelmi incidens azonosítása és lehetséges következményeinek megállapítása céljából. A károk elhárítása érdekében a szükséges intézkedéseket meg kell tenni.
4./ Az adatvédelmi incidenst indokolatlan késedelem nélkül, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenteni köteles a Hatóságnál, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal az érintettek jogainak érvényesülésére. Ha az adatkezelő bejelentési kötelezettséget akadályoztatása miatt határidőben nem teljesíti, azt az akadály megszűnését követően haladéktalanul teljesíti, és a bejelentéshez mellékeli a késedelem okait feltáró nyilatkozatát is.
5./ Ha az adatvédelmi incidens az adatfeldolgozó tevékenységével összefüggésben merült fel vagy azt egyébként az adatfeldolgozó észleli, arról - az adatvédelmi incidensről való tudomásszerzését követően - haladéktalanul tájékoztatja az adatkezelőt.
6./ Az 4./ pontban említett bejelentésben legalább:
a) ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges mennyiségét;
b) közölni kell az adatvédelmi tisztviselő nevét és elérhetőségeit;
c) ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;
d) ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.
7./ Amennyiben nem lehetséges az információkat egyidejűleg közölni tekintettel arra, hogy azok nem állnak az Adatkezelő rendelkezésére, azok további indokolatlan késedelem nélkül később részletekben is közölhetők.
8./ Adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a felügyeleti hatóság ellenőrizze a jelen 9. pontban foglalt követelményeknek való megfelelést.
B. Adatvédelmi tisztviselő
1./ Az adatkezelő és az adatfeldolgozó a személyes adatok kezelésére vonatkozó jogi előírások teljesítésének és az érintettek jogai érvényesülésének elősegítése érdekében adatvédelmi tisztviselőt alkalmaz.
2./ Az adatvédelmi tisztviselő elősegíti az adatkezelő, illetve az adatfeldolgozó - a személyes adatok kezelésére vonatkozó jogi előírásokban meghatározott - kötelezettségeinek teljesítését, így különösen
a) a személyes adatok kezelésére vonatkozó jogi előírásokról naprakész tájékoztatást nyújt és azok érvényesítésének módjaival kapcsolatban tanácsot ad az adatkezelő, az adatfeldolgozó és az azok által foglalkoztatott, az adatkezelési műveleteket végző személyek részére;
b) folyamatosan figyelemmel kíséri és ellenőrzi a személyes adatok kezelésére vonatkozó jogi előírások, így különösen a jogszabályok és belső adatvédelmi és adatbiztonsági szabályzatok érvényesülését, ennek keretei között az egyes adatkezelési műveletekhez kapcsolódó egyértelmű feladatmeghatározás, az adatkezelési műveletekben közreműködő foglalkoztatottak adatvédelmi ismereteinek bővítése és tudatosságnövelése, valamint a rendszeres időközönként lefolytatandó vizsgálatok megvalósulását;
c) elősegíti az érintettet megillető jogok gyakorlását, így különösen kivizsgálja az érintettek panaszait és kezdeményezi az adatkezelőnél, illetve az adatfeldolgozónál a panasz orvoslásához szükséges intézkedések megtételét,
d) szakmai tanácsadással elősegíti és figyelemmel kíséri az adatvédelmi hatásvizsgálat lefolytatását,
e) együttműködik az adatkezelés jogszerűségével kapcsolatos eljárások lefolytatására jogosult szervekkel és személyekkel, így különösen kapcsolatot tart a Hatósággal az előzetes konzultáció és a Hatóság által lefolytatott eljárások elősegítése érdekében,
f) közreműködik a belső adatvédelmi és adatbiztonsági szabályzat megalkotásában.
3./ Az adatvédelmi tisztviselő jogviszonyának fennállása alatt és annak megszűnését követően is titokként megőrzi a tevékenységével, annak ellátásával kapcsolatban tudomására jutott személyes adatot, minősített adatot, illetve törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatot, valamint minden olyan adatot, tényt vagy körülményt, amelyet az őt alkalmazó adatkezelő vagy adatfeldolgozó nem köteles törvény előírásai szerint a nyilvánosság számára hozzáférhetővé tenni.
X. ADATKEZELŐ MUNKAVISZONNYAL KAPCSOLATBAN FOLYTATOTT ADATKEZELÉSI TEVÉKENYSÉGEI
1. A Munkaviszony létesítését megelőzően folytatott adatkezelés
A munkaviszony létesítése előtt megvalósuló adatkezelés az azt megelőző pályáztatási eljárással, valamint a munkakörre való alkalmasság vizsgálatával összefüggésben valósul meg.
1.1. A munkavállalók felvételére irányuló pályáztatási eljárás során folytatott adatkezelés
1./ A munkavállalók felvételére irányuló pályáztatási eljárás során folytatott adatkezelés
jogalapja az érintett hozzájárulása.
2./ Az adatkezelési célok: pályázat elbírálása, munkaszerződés létrehozása.
3./ Az adatkezeléssel érintett adatok: név, lakcím, születési hely, idő, végzettség, szakmai képzettség, telefonszám, e-mail cím, képmás.
4./ Az adatkezeléssel érintett személyek kategóriái: az álláspályázatra jelentkező személyek.
5./ Személyes adatok címzettjei: a munkáltatói jogkör gyakorlója, a humánpolitikai feladatot ellátó munkavállaló(k).
6./ Az adatkezelés időtartama: a munkavállaló kiválasztását követően a ki nem választott jelentkezők tekintetében az adatkezelési cél megszűnik, ezért a jelentkezők személyes adatait haladéktalanul törölni kell.
7./ Fennáll a törlési kötelezettség abban az esetben is, ha az érintett még a jelentkezés során meggondolja magát, visszavonja pályázatát. A jelentkezőt tájékoztatni kell a kiválasztás tárgyában hozott döntés eredményéről.
1.2. Munkakörre való alkalmassági vizsgálat során végzett adatkezelés
1./ Az Mt. 10. § (1) bekezdése alapján a munkavállalókkal szemben kizárólag két típusú alkalmassági vizsgálat alkalmazható: olyan alkalmassági vizsgálatok, amelyeket munkaviszonyra vonatkozó szabály ír elő, másrészt olyan vizsgálatok, amelyeket nem ír ugyan elő munkaviszonyra vonatkozó szabály, de amelyre a munkaviszonyra vonatkozó szabályban meghatározott jog gyakorlása, kötelezettség teljesítése érdekében szükség van.
2./ Az alkalmassági vizsgálat mindkét esetkörében részletesen tájékoztatni kell a munkavállalókat többek között arról, hogy az alkalmassági vizsgálat milyen készség, képesség felmérésére irányul, a vizsgálat milyen eszközzel, módszerrel történik. Amennyiben jogszabály írja elő a vizsgálat elvégzését, akkor tájékoztatni kell a munkavállalókat a jogszabály címéről és a pontos jogszabályhelyről is.
3./ Az adatkezelés jogalapja a munkáltató jogos érdeke.
4./ Az adatkezelés célja: munkakör betöltésére való alkalmasság megállapítása, munkaviszony létesítése.
5./ A személyes adatok kezelésére jogosult személyek a vizsgálati eredmény tekintetében a vizsgálatot végző szakember és a vizsgált személy. A munkáltató csak azt az információt kaphatja meg, hogy a vizsgált személy a munkára alkalmas-e vagy sem, illetve milyen feltételek biztosítandók ehhez. A vizsgálat részleteit, illetve annak teljes dokumentációját azonban a munkáltató nem ismerheti meg.
6./ Az alkalmassági vizsgálattal kapcsolatos személyes adatok kezelésének időtartama: a munkaviszony megszűnését követő 3 év.
2. A munkaviszony fennállása alatt folytatott adatkezelés
2.1. Munkaügyi nyilvántartás keretében folytatott adatkezelés
1./ Adatkezelő a munkaügyi nyilvántartásban kezelt, alábbiakban megnevezett munkavállalói személyes adatokat a munkáltató jogos érdeke, jogi kötelezettség teljesítése, szerződés teljesítése alapján kezeli. Adatkezelő az adatkezelési tevékenység megkezdését megelőzően tájékoztatja a munkavállalót az adatkezelés jogalapjáról és céljáról.
2./ Adatkezelő által a munkaügyi nyilvántartásban kezelt munkavállaló személyes adatok köre:
a) név
b) lakcím, ideiglenes lakcím, postai cím,
c) elérhetőségi adatok, telefonszám, e-mail cím,
d) TAJ szám, adóazonosító jel, személyi igazolvány szám,
e) munkabér összege,
f) bankszámlaszám,
g) letiltások, levonások címei, ill. bankszámlaszámai,
h) gyermekek, eltartottak és azok TAJ száma,
3./ Az adatkezeléssel érintett személyek köre: Adatkezelő munkavállalói.
4./ A fentiekben rögzített személyes adatok címzettjei: a munkáltatói jogkör gyakorlója, munkáltató személyügyi tevékenységet, könyvviteli, bérszámfejtői feladatot ellátó munkavállalói, adatfeldolgozói.
5./ Az adatkezelés célja: munkaviszonyból eredő jogi kötelezettségek teljesítése, (bérfizetés), munkaviszonyból eredő jogok gyakorlása. Munkaviszony létrehozása, megszüntetése.
6./ Az adatkezelés időtartama: a munkaviszony megszűnését követő 3 év.
2.2. A munkavállaló munkaviszonnyal összefüggő magatartásának ellenőrzése
1./ A munkáltató a munkavállalót csak a munkaviszonnyal összefüggő magatartása körében ellenőrizheti. Az ellenőrzés és az annak során alkalmazott eszközök, módszerek nem járhatnak az emberi méltóság megsértésével. A munkavállaló magánélete nem ellenőrizhető.
2./ A munkáltató előzetesen tájékoztatja a munkavállalót azoknak a technikai eszközöknek az alkalmazásáról, amelyek a munkavállaló ellenőrzésére szolgálnak.
2.3. Adatkezelő által a munkavállaló rendelkezésére bocsátott e-mail fiók használatával kapcsolatos adatkezelés
1./ Adatkezelő e-mail fiókot bocsát a munkavállalók rendelkezésére annak érdekében, hogy a munkavállalók ezen keresztül tartsák egymással a kapcsolatot, vagy Adatkezelő képviseletében levelezzenek az ügyfelekkel, más személyekkel, szervezetekkel.
2./ Adatkezelő munkavállalói számára a fentiekben körülírt e-mail fiók magáncélra történő használata nem engedélyezett. A munkáltató vezetője jogosult hat havonta ellenőrizni a munkavállalók céges e-mail fiókjának tartalmát és a munkavállalók által folytatott levelezést.
3./ A munkáltatónak az email fiók használatának ellenőrzése előtt közölnie kell a munkavállalókkal, hogy milyen érdeke miatt kerül sor a munkáltatói intézkedésre.
4./ A munkáltatónak a fokozatosság elvére figyelemmel lépcsőzetes ellenőrzési rendszert kell kidolgoznia, amelyben megfelelően érvényesülhet a személyes adatok védelme, illetve hogy az ellenőrzés minél kisebb mértékben érintse a munkavállalók magánszféráját.
5./ Az e-mail fiók használatának ellenőrzése esetén főszabályként biztosítani kell a munkavállaló jelenlétét.
6./ Az e-mail fiók jogszerű ellenőrzésének megtartásához a munkáltatónak előzetesen részletes tájékoztatást kell biztosítania a munkavállalók számára. A tájékoztatóban a munkáltatónak ki kell térnie többek között arra, hogy: - milyen célból, milyen munkáltatói érdekek miatt kerülhet sor az e-mail fiók ellenőrzésére (illetve természetesen a konkrét ellenőrzés előtt tájékoztatni kell a munkavállalót arról, hogy milyen munkáltatói érdek miatt kerül sor az ellenőrzésre), - a munkáltató részéről ki végezheti az ellenőrzést, - milyen szabályok szerint kerülhet sor ellenőrzésre (fokozatosság elvének betartása) és mi az eljárás menete, - milyen jogai és jogorvoslati lehetőségei vannak a munkavállalóknak az e-mail fiók ellenőrzésével együtt járó adatkezeléssel kapcsolatban.
7./ Az ellenőrzés első lépése az e-mail cím és a levél tárgyának az ellenőrzése, majd sor kerülhet az e-mail fiók használatának magasabb szintű, részletekbe menő ellenőrzésére.
8./ A munkáltató nem jogosult az e-mail fiókban tárolt magánjellegű e-mailek tartalmát ellenőrizni még akkor sem, ha az ellenőrzés tényéről előzetesen a munkavállalókat tájékoztatta. A magánjellegű e-mailek törlésére a munkavállalót fel kell szólítani, amennyiben a munkavállaló a felszólításnak nem tesz eleget, vagy távolléte okán a személyes adatokat törölni nem képes, a munkáltató jogosult a személyes adatok haladéktalanul történő törlésére az ellenőrzés alkalmával, egyidejűleg munkajogi jogkövetkezményeket alkalmazhat a munkavállalóval szemben a céges e-mail használatára vonatkozó előírás megsértése miatt.
9./ A munkáltató jogosult hathavonta a levelezőrendszerben tájékoztatást küldeni a munkavállalók részére a céges e-mail fiók magáncélú használatának tilalma tárgyában.
10./ A munkavállaló rendelkezésére bocsátott e-mail fiók munkáltató általi ellenőrzésének jogalapja a munkáltató jogos érdeke, célja a munkavállalói kötelezettségek teljesítésének ellenőrzése, illetve a magáncélú e-mail fiókhasználatra vonatkozó tilalom betartásának ellenőrzése.
2.4. Munkavállaló rendelkezésére bocsátott laptop, tablet, telefon használat ellenőrzése
1./ A munkáltató bizonyos munkakörben dolgozó munkavállalók számára „céges” számítógépet/laptopot, tabletet, telefont biztosíthat a munkájuk elvégzéséhez.
2./ A munkáltató a fentiekben megjelölt eszközök személyes célú használatát a munkavállalóknak megtiltja. A fenti rendelkezés értelmében tilos a fentiekben megnevezett eszközökön bárminemű személyes adat, így fotók, munkavállalói személyes account-okhoz szükséges jelszavak, azonosítók, elektronikus levelek, magáncélú applikációk kezelése, tárolása, felhasználása, illetőleg magáncélú beszélgetések lefolytatására irányuló használat.
3./ A fentiekben megnevezett eszközök ellenőrzésére, az ellenőrzést végző személyekre, az adatkezelés jogalapjára és céljára a 2.2.2. pontban rögzített rendelkezéseket kell alkalmazni.
2.5A munkavállaló munkahelyi internethasználatának ellenőrzése
1./ A munkáltató a munkavállaló részére nem engedélyezi a személyes célú internethasználatot a munkavégzés ideje alatt, a munkavállaló kizárólag a munkaköri feladatainak teljesítése körében jogosult a világháló használatára.
2./ Jelen rendelkezés betartását a munkáltató a 2.2.2. pontban rögzítettek szerint ellenőrzi, illetőleg alkalmazza az ott írt munkajogi jogkövetkezményeket.
3./ A munkavállaló munkahelyi internethasználatával összefüggő adatkezelés jogalapjára céljára a 2.2.2. pontban foglaltak az irányadók.
2.6. A munkavállalókra vonatkozó eseti adatkezelés
1./ A munkáltató a munkavállalók közötti kommunikáció fejlesztése, a munkavállalók hatékonyabb együttműködésének elősegítése és bizalmi szintjének növelése, az egymás iránti tisztelet és elkötelezettség erősítése céljából csapatépítő tréningeket, egyéb rendezvényeket szervez, amelyeken való részvételi lehetőséget nyújt a munkavállalók részére.
2./ Az 1./ pontban megjelölt tevékenység során végzett adatkezelés jogalapja a munkavállaló hozzájárulása.
3./ Az adatkezelés célja a munkavállalók közötti kommunikáció fejlesztése, a munkavállalók hatékonyabb együttműködésének elősegítése és bizalmi szintjének növelése, az egymás iránti tisztelet és elkötelezettség erősítése.
4./ Az érintettek köre: mindazon munkavállalók, akik a tréningen, egyéb rendezvényen részt vesznek.
5./ A személyes adatok köre: munkavállalók képmása, hangja.
6./ Az adatok törlésének határideje: a hozzájárulás visszavonása, vagy a munkáltató belső rendszerében való közzétételt követő 6 hónap.
7./ Az adatok megismerésére jogosultak (címzettek kategóriái): nincsen.
XI. ADATKEZELÉSSEL ÉRINTETT EGYÉB TEVÉKENYSÉGEK ÉS KEZELT ADATKÖRÖK
1. Jogi kötelezettségen alapuló adatkezelés
1.1. Pénzmosás elleni kötelezettségek teljesítéséhez kapcsolódó adatkezelés
1./ Adatkezelő a pénzmosás és terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény 6. § (1) alapján az ügyfél nevében vagy megbízása alapján eljáró természetes személy azonosítására és személyazonosságának igazoló ellenőrzésére köteles az üzleti kapcsolat létesítésekor, pénzmosásra vagy a terrorizmus finanszírozására utaló adat, tény vagy körülmény felmerülése esetén, amennyiben az ügyfél-átvilágításra még nem került sor; valamint, ha kétség merül fel a korábban rögzített ügyfélazonosító adatok valódiságával vagy megfelelőségével kapcsolatban.
2./ Adatkezelő az azonosítás során az alábbi adatokat köteles rögzíteni: az ügyfél nevében vagy megbízása alapján eljáró természetes személy
a) családi és utónevét;
b) születési családi és utónevét;
c) állampolgárságát;
d) születési helyét, idejét;
e) anyja születési nevét;
f) lakcímét, ennek hiányában tartózkodási helyét;
g) az azonosító okmányának típusát és számát.
3./ Az adatkezeléssel érintettek köre: az ügyfél és/vagy az ügyfél nevében vagy megbízása alapján eljáró természetes személyek.
4./ A személyes adatok megismerésére jogosult Adatkezelő ügyfél átvilágításra kijelölt vezetője, vagy munkavállalója. Adatkezelő a szerződés (üzleti kapcsolat) megszűnésétől számított 8 évig jogosult az ügyfél-átvilágítás során rögzített személyes adatok kezelésére.
1.2. Számviteli kötelezettségek teljesítéséhez szükséges adatkezelés
1./ Adatkezelő természetes személy ügyfeleinek, vevőinek, szállítóinak adatai kezelésének jogalapja jogi kötelezettség teljesítése, (2007. évi CXXVII. törvény 159. § (1) bek.) az adatok felhasználási célja számla kötelező adattartalmának megállapítása, számla kibocsátása, kapcsolódó könyvviteli feladatok ellátása.
2./ Az adatkezeléssel érintettek köre: Adatkezelő természetes személy ügyfelei, vevői, szállítói.
3./ A kezelt adatok köre: Adatkezelő természetes személy ügyfeleinek, vevőinek, szállítóinak neve, címe, adószáma
4./ A személyes adatok megismerésére jogosultak a számla kibocsátást munkaköri feladatként ellátó vezető, illetve munkavállalók, a könyvviteli tevékenységet ellátó vezető, munkavállaló. Adatkezelő a szerződés (üzleti kapcsolat) megszűnésétől számított 8 évig jogosult az fentiekben megjelölt jogi kötelezettség teljesítése során rögzített személyes adatok kezelésére.
1.3. Adó- és járulékkötelezettségek teljesítéséhez kapcsolódó adatkezelés
1./ Adatkezelő az adózás rendjéről szóló 2017. évi CL. törvény 50. § (1) alapján havonként, a tárgyhót követő hónap tizenkettedik napjáig elektronikus úton bevallást tesz az adó- és/vagy társadalombiztosítási kötelezettségeket eredményező, természetes személyeknek teljesített kifizetésekkel, juttatásokkal összefüggő valamennyi adóról, járulékokról és/vagy a (2) bekezdésben meghatározott adatokról
2./ Az adatkezeléssel érintettek köre: Adatkezelő vezetője, munkavállalói, családtagjaik.
3./ A kezelt adatok köre: Adatkezelő vezetője, munkavállalói, családtagjaik Art. 50. § (2) bekezdésben meghatározott adatai, kiemelve ezekből a természetes személy természetes személyazonosító adatai (ideértve az előző nevet és a titulust is), neme, állampolgársága, a természetes személy adóazonosító jele, társadalombiztosítási azonosító jele.
4./ A címzettek köre: Adatkezelő könyvviteli, bérszámfejtési tevékenységet munkaköri feladatként ellátó munkavállalói, adatfeldolgozók.
5./ Adatkezelő a jogviszony megszűnésétől számított 8 évig jogosult az fentiekben megjelölt jogi kötelezettség teljesítése során rögzített személyes adatok kezelésére.
2. Információkérés, ajánlatkérés során végzett adatkezelés
1./ Adatkezelő által nyújtott szolgáltatásokkal kapcsolatosan Adatkezelő harmadik személyek számára információkérésre, ajánlatkérésre nyújt lehetőséget.
2./ Az adatkezelés jogalapja információkérés, ajánlatkérés esetén az érintett hozzájárulása.
3./ Az érintetti kör információkérés, ajánlatkérés esetén: minden olyan természetes személy, aki Adatkezelő szolgáltatásaival kapcsolatban információt, ajánlatot kér és megadja személyes adatait.
4./ A kezelt adatok köre: név, cím, telefonszám, e-mail cím.
5./ Az adatkezelés célja információkérés esetén: azonosítás, kapcsolattartás
6./ Az adatkezelési cél ajánlatkérés esetén: ajánlat adás, kapcsolattartás.
7./ Az adatok címzettjei (akik megismerhetik az adatokat) információkérés, ajánlatkérés esetén Adatkezelő vezetője, ügyfélkapcsolatot ellátó munkatárs.
8./ Az adatkezelés időtartama információkérés, ajánlatkérés esetén: az információ szolgáltatását, illetve az ajánlat nyújtását követő 30 nap elteltével Adatkezelő törli a személyes adatokat. Amennyiben az ajánlatkérés/ajánlat adás jogszabályon alapul, abban az esetben az adatkezelés időtartama a jogszabályban meghatározott időtartam.
3. Adatkezelő által üzemeltetett weboldallal összefüggő adatkezelés
1./ Adatkezelő honlapján tett látogatások során egy vagy több cookie - apró információcsomag, amelyet a szerver küld a böngészőnek, majd a böngésző visszaküld a szervernek minden, a szerver felé irányított kérés alkalmával – kerül küldésre a honlapot meglátogató személy számítógépére, amely(ek) révén annak böngészője egyedileg azonosítható lesz, amennyiben ehhez a honlapot meglátogató személy világos és egyértelmű tájékoztatást követően kifejezett (aktív) hozzájárulását adta a honlap további böngészésére irányuló magatartásával.
2./ A cookie-k kizárólag a felhasználói élmény javítása, a belépési folyamat automatizálása érdekében működnek. A honlapon használt sütik személy szerinti beazonosításra alkalmas információt nem tárolnak, Adatkezelő személyes adatkezelést e körben nem folytat.
4. Szerződés teljesítésével kapcsolatos adatkezelési tevékenység, Jogszabályon alapuló közfeladat ellátás teljesítése
1./ Adatkezelő a vele szerződő természetes személyek – ügyfelek- személyes adatainak kezelését ellátja a szerződéses jogviszonnyal összefüggésben. Ezen szerződéses jogviszonyt Adatkezelő jogaszályon alapuló közfeladat ellátása körében végzi.
2./ Az érintettek köre: mindazon természetes személyek, akik Adatkezelővel szerződéses kapcsolatot létesítenek.
3./ Az adatkezelés jogalapja szerződés teljesítése, jogi kötelezettség teljesítése, az adatkezelés célja a kapcsolattartás, a szerződésből eredő igényérvényesítés, szerződéses kötelezettségeknek megfelelés biztosítása.
4./ A személyes adatok címzettjei: Adatkezelő vezetője, Adatkezelő munkavállalói, adatfeldolgozói.
5./ A kezelt személyes adatok köre: név, születési hely és idő, lakcím, telefonszám, e-mail cím, bankszámlaszám.
6./ Az adatkezelés időtartama: a szerződés megszűnésétől számított 5 év, illetve a közfeladat ellátása körében alapított szerződések esetén a vonatkozó jogszabályok által előírt kötelező adatkezelési időtartam utolsó napja.
XII. AZ ADATFELDOLGOZÁSSAL KAPCSOLATOS SZABÁLYOK
1. Az adatkezelő általános feladatai
1./ Az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja.
Adatkezelő az általa kezelt személyes adatok körében megbízott külső adatfeldolgozót vesz igénybe a következő feladatok ellátása céljából:
internetes honlap üzemeltetése, karbantartása;
vállalatirányítási szoftver üzemeltetése, karbantartása;
adó- és számviteli kötelezettségek teljesítése;
jogi vonatkozású feladatok ellátása megbízott ügyvédek útján.
2./ Aki az adatkezelő tevékenységi körében kezelt személyes adatokhoz adatfeldolgozóként vagy az adatkezelő irányítása alatt más módon jogszerűen hozzáférhet - ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa ettől eltérően nem rendelkezik - a hozzáféréssel érintett személyes adatokkal kizárólag az adatkezelő utasításában meghatározott műveletek végzésére jogosult.
3./ Adatkezelő deklarálja, hogy az adatfeldolgozó tevékenysége során az adatkezelésre vonatkozó érdemi döntés meghozatalára kompetenciával nem rendelkezik, a tudomására jutott személyes adatokat kizárólag az adatkezelő rendelkezései szerint dolgozhatja fel, saját céljára adatfeldolgozást nem végezhet, továbbá a személyes adatokat az adatkezelő rendelkezései szerint köteles tárolni és megőrizni.
4./ Az adatfeldolgozó részére az adatkezelési műveletek tárgyában adott utasítások jogszerűségéért Adatkezelő felel.
5./ Adatkezelő kötelezettsége az érintettek számára az adatfeldolgozó személyéről, az adatfeldolgozás helyéről való tájékoztatás megadása.
6./ Adatkezelő az adatfeldolgozónak további adatfeldolgozó igénybevételére felhatalmazást nem ad.
7./ Az adatfeldolgozásra vonatkozó szerződést írásba kell foglalni. Az adatfeldolgozással nem bízható meg olyan szervezet, amely a feldolgozandó személyes adatokat felhasználó üzleti tevékenységben érdekelt.
8./ Az adatkezelő és az adatfeldolgozó az általa végzett adatkezelési műveletek jogszerűségével kapcsolatos eljárások lefolytatására jogosult szervek és személyek tevékenységét köteles elősegíteni, részükre az eljárásuk lefolytatásához szükséges tájékoztatást köteles megadni.
2. Adatfeldolgozói tevékenység
1./ Adatfeldolgozóként kizárólag olyan személy vagy szervezet járhat el, aki vagy amely megfelelő garanciákat nyújt az adatkezelés jogszerűségének és az érintettek jogai védelmének biztosítására alkalmas műszaki és szervezési intézkedések végrehajtására. Ezen garanciákat az adatkezelés megkezdését megelőzően az adatfeldolgozó igazolja az adatkezelő számára.
2./ Az adatkezelő és az adatfeldolgozó közötti jogviszony részletes tartalmát az e törvényben, valamint az Európai Unió kötelező jogi aktusában meghatározott keretek között jogszabály vagy az adatkezelő és az adatfeldolgozó között írásban létrehozott szerződés - ideértve az elektronikus úton létrehozott szerződést is - határozza meg.
3./ Az adatkezelő által az adatfeldolgozónak adott utasítások jogszerűségéért az adatkezelő felel.
4./ A jogszabálynak vagy szerződésnek tartalmaznia kell az adatkezelés tárgyát, időtartamát, jellegét és célját, az érintett személyes adatok típusát, az érintettek körét, valamint az adatfeldolgozó és az adatkezelő törvényben, valamint az Európai Unió kötelező jogi aktusában nem szabályozott jogait és kötelezettségeit.
5./ A jogszabályban vagy szerződésben rendelkezni kell különösen az adatfeldolgozó azon kötelezettségéről, hogy
a) tevékenysége során kizárólag az adatkezelő írásbeli utasítása alapján jár el,
b) tevékenysége során biztosítja azt, hogy az érintett személyes adatokhoz való hozzáférésre feljogosított személyek - ha jogszabályon alapuló megfelelő titoktartási kötelezettség hatálya alatt egyébként nem állnak - az általuk megismert személyes adatok vonatkozásában titoktartási kötelezettséget vállaljanak,
c) tevékenysége során minden megfelelő eszközzel segíti az adatkezelőt az érintettek jogai érvényesítésének elősegítése, ezzel kapcsolatos kötelezettségei teljesítése érdekében,
d) az adatkezelő választása szerint az általa végzett adatkezelési műveletek befejezését követően - ha törvény másként nem rendelkezik - vagy haladéktalanul törli a tevékenysége során megismert személyes adatokat, vagy továbbítja azokat az adatkezelőnek és azt követően törli a meglévő másolatokat,
e) az adatkezelő rendelkezésére bocsát minden olyan információt, amely az adatfeldolgozó igénybevételére vonatkozó jogi rendelkezéseknek való megfelelés igazolásához szükséges, és
f) további adatfeldolgozót csak a törvényben meghatározott feltételek teljesítése mellett vesz igénybe.
6./Ha egy adatfeldolgozó a törvény rendelkezéseitől eltérve maga határozza meg az adatkezelés céljait és eszközeit, akkor azt az érintett adatkezelés tekintetében adatkezelőnek kell tekinteni.
XIII. AZ ADATBIZTONSÁGRA VONATKOZÓ RENDELKEZÉSEK
1. Az adatbiztonság megvalósításának elvei
1./ Adatkezelő személyes adatot csak a jelen szabályzatban rögzített tevékenységekkel összhangban, az adatkezelés célja szerint kezelhet.
2./ Adatkezelő az adatok biztonságáról gondoskodik, e körben kötelezettséget vállal arra, hogy megteszi mindazon technikai és szervezési intézkedéseket, amelyek elengedhetetlenül szükségesek az adatbiztonságra vonatkozó jogszabályok, adat- és titokvédelmi szabályok érvényre juttatásához, illetőleg kialakítja a fentiekben meghatározott jogszabályok érvényesüléséhez szükséges eljárási szabályokat.
3./ Adatkezelő által végrehajtandó technikai és szervezési intézkedések a következőkre irányulnak:
a) a személyes adatok álnevesítése és titkosítása;
b) a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítása, integritása, rendelkezésre állása és ellenálló képességének fennállása;
c) fizikai vagy műszaki incidens esetén az arra való képesség, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;
d) az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárás alkalmazása,
4./ A biztonság megfelelő szintjének meghatározásakor kifejezetten figyelembe kell venni az adatkezelésből eredő olyan kockázatokat, amelyek különösen a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítéséből, elvesztéséből, megváltoztatásából, jogosulatlan nyilvánosságra hozatalából vagy az azokhoz való jogosulatlan hozzáférésből erednek.
5./ Adatkezelő az adatokat megfelelő intézkedésekkel védi a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés, továbbá az alkalmazott technika megváltozásából fakadó hozzáférhetetlenné válás ellen.
6./ Adatkezelő az általa kezelt adatokat az irányadó jogszabályoknak megfelelően tartja nyilván, biztosítva, hogy az adatokat csak azok a munkavállalók, és egyéb a Vállalkozás érdekkörében eljáró személyek ismerhessék meg, akiknek erre munkakörük, feladatuk ellátása érdekében szükségük van.
7./ Adatkezelő az egyes adatkezelési tevékenység során megadott személyes adatokat más adatoktól elkülönítetten tárolja, azzal, hogy - összhangban a fent rendelkezéssel - az elkülönített adatállományokat kizárólag a megfelelő hozzáférési jogosultsággal rendelkező munkavállalók ismerhetik meg.
8./ Adatkezelő vezetői, munkavállalói a személyes adatokat harmadik személynek nem továbbítják, a jogosulatlan hozzáférés kizárása érdekében a szükséges intézkedéseket megteszik.
9./ Adatkezelő azon munkavállalóinak enged hozzáférést személyes adatokhoz, akik a kezelt személyes adatkörök tekintetében titoktartási nyilatkozat tételével vetették alá magukat az adatbiztonsági szabályok megtartásával kapcsolatos kötelezettségnek.
10./ Adatkezelő az adatok biztonságát szolgáló intézkedések meghatározásakor és alkalmazásakor tekintettel van a technika mindenkori fejlettségére, több lehetséges adatkezelési megoldás esetén a személyes adatok magasabb szintű védelmét biztosító megoldást választja, kivéve, ha az aránytalan nehézséget jelentene.
2. Adatkezelő informatikai nyilvántartásainak védelme
1./ Adatkezelő az informatikai nyilvántartásai tekintetében az adatbiztonság megvalósulásához a következő szükséges intézkedéseket foganatosítja:
a) ellátja az általa kezelt adatállományokat számítógépes vírusok elleni állandó védelemmel, (valós idejű vírusvédelmi szoftvert alkalmaz.)
b) gondoskodik az informatikai rendszer hardver eszközeinek fizikai védelméről, beleértve az elemi károk elleni védelmet,
c) gondoskodik az informatikai rendszer jogosulatlan hozzáférés elleni védelméről, mind a szoftver mind a hardver eszközök tekintetében,
d) megteszi mindazokat az intézkedéseket, amelyek az adatállományok helyreállításához szükségesek, rendszeres biztonsági mentést hajt végre, továbbá a biztonsági másolatok elkülönített, biztonságos kezelését végrehajtja.
3. Adatkezelő papíralapú nyilvántartásainak védelme
1./ Adatkezelő a papíralapú nyilvántartások védelme érdekében megteszi a szükséges intézkedéseket különösen a fizikai biztonság, illetve tűzvédelem tekintetében.
2./ Adatkezelő vezetője, munkavállalói, és egyéb, Adatkezelő érdekében eljáró személyek az általuk használt, vagy birtokukban lévő, személyes adatokat is tartalmazó adathordozókat, függetlenül az adatok rögzítésének módjától, kötelesek biztonságosan őrizni, és védeni a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés ellen.
XIV. EGYÉB RENDELKEZÉSEK
1./ Adatkezelő ügyvezetője köteles Adatkezelő valamennyi munkavállalója részére ismertetni jelen szabályzat rendelkezéseit.
2./ Adatkezelő ügyvezetője köteles gondoskodni arról, hogy Adatkezelő valamennyi munkavállalója betartsa jelen szabályzatban foglalt rendelkezéseket.
3./ Jelen szabályzat megállapítása, illetőleg módosítása Adatkezelő ügyvezetőjének feladatkörébe tartozik.
4./ Jelen Szabályzatban nem szabályozott kérdésekben egyebekben az alábbi jogszabályok az irányadóak:
a) a Polgári Törvénykönyvről szóló 2013. évi V. törvény 2:43. §-a;
b) az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény.
c) 2016/679/EU rendelet (GDPR).
Vác, 2021.10.08.
Kegyes Zoltán András ügyvezető
Váci Városimázs Nonprofit Kft.