ADATVÉDELMI ÉS ADATKEZELÉSI SZABÁLYZAT
Teqtos Kft.
Az Európa Parlament és Tanács 2016/679 Általános Adatvédelmi Rendelete – „GDPR”
– A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról –
alapján
Hatályos: 2018. május 25. napjától
Jóváhagyta:
Koszti Tamás János
ügyvezető
1. Előszó
Jelen szabályzat (továbbiakban: Szabályzat) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályokat állapít meg. A Szabályzatban foglaltakat kell alkalmazni a konkrét adatkezelési tevékenységek során, valamint az adatkezelést szabályozó utasítások és tájékoztatások kiadásakor.
A Teqtos Kft. (továbbiakban: Társaság vagy Adatkezelő) adatvédelmi tisztviselőt nem alkalmaz.
Adatkezelő neve: Teqtos Kft.
Adatkezelő székhelye: 1139 Budapest, Lomb utca 15. 3. emelet
Adatkezelő elérhetősége: info@teqtos.com
2. A Szabályzat hatálya
A Szabályzat visszavonásig érvényes, hatálya kiterjed a Társaság tisztségviselőire, alkalmazottjaira, valamint alvállalkozóira, megbízottjaira és adatfeldolgozóira.
3. Az adatkezelés alapjául szolgáló jogszabályok
- Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet, továbbiakban: GDPR);
- 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról;
- 2005. évi XC. törvény az elektronikus információszabadságról;
- 2000. évi C. törvény a számvitelről;
- 2017. évi CL. törvény az adózás rendjéről;
- 1995. évi LXVI. törvény a köziratokról, a közlevéltárakról és a magánlevéltári anyag védelméről;
- A Nemzeti Adatvédelmi és Információszabadság Hatóság ajánlása az előzetes tájékoztatás adatvédelmi követelményeiről.
4. A Szabályzat célja
A Szabályzat célja, hogy biztosítsa az adatvédelemmel kapcsolatos jogszabályoknak való megfelelést és a személyes adatok megfelelő kezelését.
A Társaság tevékenysége során teljes mértékben meg kíván felelni a személyes adatok kezelésére vonatkozó jogszabályi előírásoknak, különösen a GDPR-ban foglaltaknak.
A Szabályzat kiadásának fontos célja továbbá, hogy megismerésével és betartásával a Társaság alkalmazottjai, alvállalkozói és megbízottjai képesek legyenek a természetes személyek adatai kezelését jogszerűen végezni.
5. Fogalom meghatározások
- adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;
- adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
- adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel;
- személyes adat: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
- harmadik fél: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;
- érintett: bármely meghatározott, személyes adat alapján azonosított vagy – közvetlenül, vagy közvetve – beazonosítható természetes személy;
- érintett hozzájárulása: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;
- adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
- címzett: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak;
- adatkezelés korlátozása: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából;
- profilalkotás: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előre jelzésére használják.
6. Jogalapok, amelyek alapján személyes adatokat lehet kezelni
A személyes adatok kezelése akkor jogszerű (GDPR 6. cikk), ha az alábbiak valamelyike teljesül:
- az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez,
- az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy a szerződés megkötését megelőzően az érintett kérésére történő lepések megtételéhez szükséges,
- az adatkezelés az Adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges,
- az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges,
- az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges,
- az adatkezelés az Adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen akkor, ha az érintett gyermek.
A fentiek értelmében az adatkezelés jogszerűnek minősül, ha arra valamely szerződés vagy szerződéskötési szándék keretében van szükség.
Ha az adatkezelésre az Adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie.
Az adatkezelést jogszerűnek kell tekinteni akkor, amikor az az érintett életének vagy más fent említett természetes személy érdekeinek védelmében történik. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre elvben csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető.
Az adatkezelés néhány típusa szolgálhat egyszerre fontos közérdeket és az érintett létfontosságú érdekeit is, például olyan esetben, amikor az adatkezelésre humanitárius okokból, ideértve, ha arra a járványok és terjedéseik nyomon követéséhez, vagy humanitárius vészhelyzetben, különösen természeti vagy ember által okozott katasztrófák esetében van szükség.
Az adatkezelő – ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik – vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az Adatkezelő között, például olyan esetekben, amikor az érintett az Adatkezelő ügyfele vagy annak alkalmazásában áll.
Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az Adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető.
A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e ésszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az Adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre.
Az Adatkezelő jogos érdekének minősül a közhatalmi szervek, számítástechnikai vészhelyzetekre reagáló egység, hálózatbiztonsági incidenskezelő egységek, elektronikus hírközlési hálózatok üzemeltetői és szolgáltatások nyújtói, valamint biztonságtechnológiai szolgáltatók által végrehajtott olyan mértékű személyes adatkezelés, amely a hálózati és informatikai biztonság garantálásához feltétlenül szükséges és arányos.
A személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését.
7. Adatkezelés irányelvei
Személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni.
Személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet.
Személyes adatok kezelésének célja releváns és csak szükséges mértékű lehet.
Személyes adatoknak pontosnak és naprakésznek kell lenniük. A pontatlan személyes adatokat haladéktalanul törölni kell.
A személyes adatok tárolásának olyan formában kell történnie, hogy az érintettek azonosítását csak szükséges ideig tegye lehetővé. A személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, ha a tárolás közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történik.
A személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.
Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell.
A Társaság adatkezelést végző alkalmazottja fegyelmi, kártérítési, szabálysértési és büntetőjogi felelősséggel tartozik a személyes adatok jogszerű kezeléséért. Amennyiben az alkalmazott tudomást szerez arról, hogy az általa kezelt személyes adat hibás, hiányos, vagy időszerűtlen, köteles azt helyesbíteni, vagy helyesbítését az adat rögzítéséért felelős munkatársnál kezdeményezni.
8. Személyes adatok kezelése
Mivel a természetes személyek összefüggésbe hozhatók az általuk használt készülékek, alkalmazások, eszközök és protokollok által rendelkezésre bocsátott online azonosítókkal, ezért ezek az adatok egyéb információkkal összekapcsolva alkalmasak és felhasználhatók a természetes személyek profiljának létrehozására és az adott személy azonosítására.
A személyes adatokat olyan módon kell kezelni, amely biztosítja azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok jogosulatlan felhasználását.
A gyermekek személyes adatai különös védelmet érdemelnek, mivel ők kevésbé lehetnek tisztában a személyes adatok kezelésével összefüggő kockázatokkal, következményeivel és az ahhoz kapcsolódó garanciákkal és jogosultságokkal.
A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos, kivéve, ha az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez.
A pontatlan személyes adatok helyesbítése vagy törlése érdekében minden ésszerű lépést meg kell tenni.
8.1. Az érintett hozzájárulása alapján történő adatkezelés
A hozzájáruláson alapuló adatkezelés esetén az érintett írásbeli hozzájárulását adja a személyes adatai kezeléséhez. A hozzájárulás formai kötöttség nélküli, de az utólagos bizonyíthatóság papír- vagy elektronikus alapú írásbeli hozzájárulást igényel.
A hallgatás vagy a passzív eltűrés nem minősül hozzájárulásnak.
Egy hozzájárulás egy adatkezelési cél érdekében végzett adatkezeléshez való hozzájárulást jelenti.
Ha az Adatkezelőnek több adatkezelési célja van, akkor az érintett hozzájárulását külön-külön be kell szerezni.
Az érintett hozzájárulása visszavonására ugyanolyan egyszerű eljárást kell lehetővé tenni számára, mint amilyen eljárásban a hozzájárulása beszerzésre került.
A kezelt adatok köre: a hozzájárulással érintett adatkör, az adatkezelés célja: a hozzájáruló nyilatkozatban megjelölt cél, az adatkezelés időtartama: a hozzájárulásban megjelölt időtartam vagy visszavonásig.
Érintett garanciális jogai: tájékoztatás, helyesbítés, törlés, korlátozás, értesítési jog, adathordozhatóság, tiltakozás, panaszjog, jogorvoslati jog.
Az érintettet tájékoztatni kell a személyes adatai adatfeldolgozó részére történő továbbításáról is.
8.2. Adatkezelés szerződés teljesítése kapcsán
A GDPR szerint abban az esetben is lehetőség van személyes adatok kezelésére, ha az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az adatkezelés, adatfelvétel a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges.
8.2.1. Szerződő magánszemély ügyfelek, partnerek, munkavállalók adatainak kezelése
Az Adatkezelő a szerződés teljesítése jogalappal a szerződés megkötése, teljesítése, megszűnése céljából kezelhet személyes adatokat.
Az adattakarékosság alapján a természetes személy adatai közül csak az esetenként külön-külön legszükségesebbek kerülnek adatkezelés alá, így különös tekintettel a következők: neve, anyja neve, születési helye és ideje, lakcíme, telefonszáma, e-mail címe, bankszámlaszáma, adóazonosító jele, társadalombiztosítási azonosító jel (TAJ szám). Munkavállalókat érintő, adatkezeléssel kapcsolatos összes információt az 1. számú Melléklet tartalmazza.
Az ezen a jogalapon alapuló adatkezelés jogszerűnek minősül akkor is, ha az adatkezelés a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges.
A személyes adatok címzettjei: az Adatkezelő azon munkavállalói és közreműködői, akik a szerződés teljesítésében közreműködnek, így a pénzügyi-, termék/szolgáltatás kiszolgálói, átadói-, könyvelési-, adózási tevékenységeket ellátó személyek és adatfeldolgozók.
Az adatkezelés célja: megrendelés/megbízás/szerződés teljesítése, ügyfélkapcsolat megvalósítása.
Az adatkezelés időtartama: a számvitelről szóló 2000. évi C. törvény 169 § alapján: 8 év. A munkaügyi iratok a köziratokról, közlevéltárakról és a magánlevéltári anyag védelméről szóló 1995. évi LXVI. törvény alapján maradandó értékű iratnak minősülnek, így ezek az iratok és a bennük szereplő személyes adatok nem selejtezhetők.
Érintettek garanciális jogai: tájékoztatás, helyesbítés, törlés, korlátozás, értesítési jog, adathordozhatóság, tiltakozás, panaszjog, jogorvoslati jog.
Az érintett részére az adatkezelés megkezdése előtt tájékoztatást kell adni, hogy az adatkezelés jogalapja a szerződés teljesítése.
Az érintettet tájékoztatni kell a személyes adatai adatfeldolgozó részére történő továbbításáról is.
8.2.2. Érintettnek nem minősülő megrendelők, ügyfelek, partnerek (cégek, intézmények) természetes személy képviselőinek, kapcsolattartóinak elérhetőségi adatainak a kezelése
Az adatkezeléssel érintett személyes adatok köre: a természetes személy neve, képviselt cég neve, intézménybeli beosztása, telefonszáma, e-mail címe.
A személyes adatok kezelésének célja: az Adatkezelő nem magánszemély megrendelőjével, ügyfelével, partnerével kötött szerződés teljesítése, üzleti kapcsolattartás.
Adatkezelés jogalapja: szerződés teljesítése és/vagy az érintett hozzájárulása.
Az adatkezeléssel érintett adatok címzettjei, illetve a címzettek kategóriai: az Adatkezelő szerződés teljesítésével, illetve abból eredő kapcsolattartással összefüggő feladatokat ellátó munkavállalói és közreműködői és adatfeldolgozók.
Az adatkezelés időtartama: a számvitelről szóló 2000. évi C. törvény 167. §-a alapján: 8 év.
Adattárolás helye és módja: papír alapú adatkezelés során a Társaság telephelyén, „Személyügyi anyagok” nevű papírdossziéban, elektronikusan Microsoft OneDrive rendszeren.
Az érintettek garanciális jogai: tájékoztatás, helyesbítés, törlés, korlátozás, értesítési jog, tiltakozás, panaszjog, jogorvoslati jog.
Az érintett részére az adatkezelés megkezdése előtt tájékoztatást kell adni, hogy az adatkezelés jogalapja a szerződés teljesítése vagy érintetti hozzájárulás.
Az érintettet tájékoztatni kell a személyes adatai adatfeldolgozó részére történő továbbításáról is.
8.3. Adatkezelés jogi kötelezettség teljesítése érdekében
8.3.1. Általános szabályok
Jogi kötelezettség teljesítése jogalapon alapuló adatkezelés az érintett hozzájárulásától független, mivel az adatkezelést jogszabály határozhatta meg.
Az adatkezelés kötelező jellegétől függetlenül az érintettel az adatkezelés megkezdése előtt közölni kell, hogy az adatkezelés kötelező és nem kerülhető el, továbbá az érintett számára az adatkezelés megkezdése előtt egyértelműen és részletesen tájékoztatást kell adni az adatai kezelésével kapcsolatos minden jelentős tényről.
A tájékoztatásnak ki kell terjednie: az adatkezelés céljára, az Adatkezelő és az adatfeldolgozó nevére és elérhetőségére, az adatkezelés időtartamára, jogi kötelezettség teljesítésre, mint jogalapra, illetve adattovábbítás esetén azokról a címzettekről való tájékoztatásra, hogy kik férhetnek hozzá, kik ismerhetik meg az adatokat.
A tájékoztatásnak ki kell terjednie az érintettnek adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is. Kötelező adatkezelés esetén a tájékoztatás megtörténhet az előbbi információkat tartalmazó jogszabályi rendelkezésekre való utalás nyilvánosságra hozatalával is.
Érintett garanciális jogai: tájékoztatás, helyesbítés, értesítési jog, panaszjog, jogorvoslati jog.
Ha a személyes adat felvételére az érintett hozzájárulásával került sor, az Adatkezelő a felvett személyes adatokat a GDPR eltérő rendelkezésének hiányában a rá vonatkozó jogi kötelezettség teljesítése céljából további külön hozzájárulás nélkül, illetve az érintett hozzájárulásának visszavonását, tiltakozását követően is kezelheti.
Adatkezeléssel érintett adatkör: a jogszabályban előírt adatok, az adatkezelés célja: a jogszabályban meghatározott cél, az adatkezelés időtartama: a jogszabályban meghatározott időtartam.
Az érintettet tájékoztatni kell a személyes adatai adatfeldolgozó részére történő továbbításáról is.
8.3.2. Adójogszabályok szerinti kifizetői adatkezelés
Az Adatkezelő a különböző adó- és társadalombiztosítási jogszabályokban előírt adó- és járulékkötelezettségek teljesítése (adó-, adóelőleg, járulékok megállapítása, bérszámfejtés, társadalombiztosítási ügyintézés) céljából, jogi kötelezettség teljesítése jogalappal kezeli azon érintettek – munkavállalók, családtagjaik, foglalkoztatottak, egyéb juttatásban részesülők – adótörvényekben előírt személyes adatait, amely személyekkel kifizetői (2017. évi CL. törvény az adózás rendjéről (továbbiakban: Art.) 7.§ 31.) jogviszonyban áll.
A kezelt adatok körét az Art. 50.§-a határozza meg. Ilyen személyes adatok különösen: név, korábbi név, nem, állampolgárság, a természetes személy adóazonosító jele, társadalombiztosítási azonosító jel (TAJ szám). A munkavállalókat érintő, adatkezeléssel kapcsolatos összes információt az 1. számú Melléklet tartalmazza.
Amennyiben az adójogszabályok ehhez jogkövetkezményt fűznek, az Adatkezelő kezelheti a munkavállalók egészségügyi (Szja tv. 40.§) adatait adó és járulékkötelezettségek teljesítés (bérszámfejtés, társadalombiztosítási ügyintézés) céljából.
A személyes adatok tárolásának időtartama: a jogi kötelezettséget előíró jogszabályban meghatározott idő.
A személyes adatok címzettjei: az adatkezelő adózási, bérszámfejtési, társadalombiztosítási (kifizetői) tevékenységét ellátó munkavállalói, közreműködői és adatfeldolgozói.
Adattárolás helye és módja: papír alapú adatkezelés során a Társaság telephelyén, „Személyügyi anyagok” nevű papírdossziéban, elektronikusan Microsoft OneDrive rendszeren.
8.4. Azonosítást nem igénylő adatkezelés[1]
Ha azok a célok, amelyekből az Adatkezelő a személyes adatokat kezeli, nem vagy már nem teszik szükségessé az érintettnek az Adatkezelő általi azonosítását, az Adatkezelő nem köteles kiegészítő információkat megőrizni, beszerezni vagy kezelni annak érdekében, hogy pusztán azért azonosítsa az érintettet, hogy megfeleljen a GDPR-nak.
9. Érintett személy tájékoztatása, jogai
9.1. Tájékoztatáshoz való jog[2]
A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett érthető tájékoztatást kapjon az adatkezeléssel összefüggő tényekről és információkról, ez a joga fennáll különösen az adatkezelés megkezdését megelőzően is.
Ha a személyes adatokat az érintettől gyűjtik, az érintettet arról is tájékoztatni kell, hogy köteles-e a személyes adatokat közölni, valamint, hogy az adatszolgáltatás elmaradása milyen következményekkel jár.
Az érintett a megadott elérhetőségeken keresztül tájékoztatást kérhet arról, hogy a Társaság milyen adatait, milyen jogalapon, milyen adatkezelési cél miatt, milyen forrásból, mennyi ideig kezeli. A kérelmére haladéktalanul, de legfeljebb 30 napon belül, a megadott elérhetőségre tájékoztatást kell küldeni.
9.2. Hozzáférési jog[3]
Az érintett jogosult arra, hogy az adatkezelőtől tömör, közérthető választ kapjon arra nézve, hogy személyes adatainak kezelését végzik-e aktuálisan, és ha igen, akkor jogosult arra, hogy a személyes adatokhoz és a GDPR-ban meghatározott kapcsolódó információkhoz hozzáférést kapjon.
9.3. Helyesbítéshez való jog[4]
Az érintett jogosult arra, hogy kérésére az Adatkezelő helyesbítse a rá vonatkozó pontatlan személyes adatokat. Az érintett jogosult arra, hogy kérje a hibás, hiányos személyes adatok módosítását, kiegészítését. Erről kérelmére haladéktalanul, de legfeljebb 30 napon belül intézkedni kell és a megadott elérhetőségre tájékoztatást kell küldeni.
9.4. A törléshez / ”elfeledtetéshez” való jog[5]
Az érintett jogosult arra, hogy kérésére az Adatkezelő – indokolatlan késedelem nélkül – törölje a rá vonatkozó személyes adatokat és a megadott elérhetőségre tájékoztatást kell küldeni, az Adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje bizonyos esetekben. Az érintettnek ez a joga különösen a hozzájárulása alapján kezelt személyes adataihoz kapcsolódóan áll fent, bizonyos más esetekben, így többek között a jogi kötelezettség teljesítése alapján kezelt adatok esetén pedig kifejezetten korlátozott ez a joga.
9.5. Az adatkezelés korlátozásához való jog[6]
Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha bizonyos meghatározott feltételek teljesülnek. Ez az esetkör leginkább egy bizonyos adatkezelési állapot rögzítésére szolgál, amely akár egy jogvitás helyzet előzménye vagy már maga a konkrét vitás helyzet is lehet.
9.6. A személyes adatok helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség[7]
Az Adatkezelő minden olyan címzettet tájékoztat minden helyesbítésről, törlésről vagy adatkezelés-korlátozásról, akikkel a személyes adatot közölték. Kivétel: nem várható el ezen kötelezettség teljesítése, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel.
9.7. Az adathordozhatósághoz való jog[8]
Az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa.
9.8. A tiltakozáshoz való jog[9]
Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak kezelése ellen, ha
- az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges, illetve, ha
- az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges.
Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen.
9.9. Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást[10]
Az érintett jogosult arra, hogy ne terjedjen ki rá az olyan, kizárólag automatizált adatkezelésen – profilalkotás is! – alapuló döntés hatálya, amely rá nézve joghatással járna vagy őt hasonlóképpen jelentős mértékben érintené. Az érintett ilyenkor kérheti a kézi, emberi beavatkozást és döntésalkotást.
9.10. Az érintett tájékoztatása az adatvédelmi incidensről[11]
Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, abban az esetben az Adatkezelő – indokolatlan késedelem nélkül – tájékoztatja az érintettet az adatvédelmi incidensről és átadja az ilyenkor szükséges információkat (adatvédelmi incidens jellege, következménye stb.).
9.11. A felügyeleti hatóságnál történő panasztételhez való jog[12]
Az érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az uniós adatvédelmi rendeletet.
9.12. A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog[13]
Minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben. Ez a jog akkor is fennáll, ha a felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet a benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.
9.13. Adatkezelővel / adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog[14]
Minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak az uniós rendeletnek nem megfelelő kezelése következtében megsértették a jogait.
10. Személyes adatok felülvizsgálata
Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az Adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg.
A Társaság vezetője által megállapított rendszeres felülvizsgálati határidő: 1 év.
11. Adatkezelő feladatai
Az Adatkezelő a jogszerű adatkezelés érdekében megfelelő belső adatvédelmi szabályokat alkalmaz. Ez a szabályozás kiterjed az Adatkezelő hatáskörére és felelősségére.
Az Adatkezelő kötelessége, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint, hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek a hatályos jogszabályoknak megfelelnek.
Ezt a szabályozást az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni.
Az Adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre. A Szabályzat alapján az egyéb belső szabályzatokat felülvizsgálja és szükség esetén naprakésszé teszi.
Az Adatkezelő vagy az adatfeldolgozó megfelelő nyilvántartást vezet a hatásköre alapján végzett adatkezelési tevékenységekről. Minden Adatkezelő és adatfeldolgozó köteles a felügyeleti hatósággal együttműködni és ezeket a nyilvántartásokat kérésre hozzáférhetővé tenni az érintett adatkezelési műveletek ellenőrzése érdekében.
12. Adatbiztonsági intézkedések
Az Adatkezelő valamennyi adatkezelése tekintetében megteszi mindazokat a technikai és szervezési intézkedéseket is a személyes adatok biztonsága érdekében, amelyek a jogi és számítástechnikai szempontokon túl is garantálják az érintettek jogait.
Az Adatkezelő belső eljárásrendjeivel és intézkedéseivel törekszik megelőzni a személyes adatok véletlen vagy jogellenes sérülését, megváltoztatását, megsemmisítését, elvesztését, jogosulatlan nyilvánosságra hozatalát vagy az azokhoz való jogosulatlan hozzáférést.
Az adatkezelő biztosítja az adatok és az azokat hordozó eszközök, iratok megfelelő fizikai és adminisztratív védelmét, az éppen munkavégzéssel érintett adatokhoz, fájlokhoz, iratokhoz csak a feladattal érintett jogosultak férhetnek hozzá. A személyzeti, a bér- és munkaügyi és egyéb személyes adatokat tartalmazó papír alapú iratok fizikailag biztonságosan vannak elzárva.
Az Adatkezelő a munkaügyi adatvédelmi szabályai szerint a személyes adatok védelme érdekében jogos érdeke jogalappal ellenőrzi az elektronikus úton folytatott bejövő és kimenő információ áramlását.
13. Adatkezeléssel kapcsolatos jogérvényesítési lehetőség
Nemzeti Adatvédelmi és Információszabadság Hatóság
Postacím: 1530 Budapest, Pf.: 5.
Cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c
Telefon: +36 (1) 391-1400
Fax: +36 (1) 391-1410
E-mail: ugyfelszolgalat@naih.hu
URL: https://naih.hu
Az érintett a jogainak megsértése esetén az Adatkezelő ellen bírósághoz fordulhat. A bíróság az ügyben soron kívül jár el. A pert az érintett – választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja.
[1] Részletes információk: GDPR 11. cikk
[2] Részletes információk: GDPR 12-14. cikk
[3] Részletes információk: GDPR 15. cikk
[4] Részletes információk: GDPR 16. cikk
[5] Részletes információk: GDPR 17. cikk
[6] Részletes információk: GDPR 18. cikk
[7] Részletes információk: GDPR 19. cikk
[8] Részletes információk: GDPR 20. cikk
[9] Részletes információk: GDPR 21. cikk
[10] Részletes információk: GDPR 22. cikk
[11] Részletes információk: GDPR 34. cikk
[12] Részletes információk: GDPR 77. cikk
[13] Részletes információk: GDPR 78. cikk
[14] Részletes információk: GDPR 79. cikk