Adatvédelmi szabályzat
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló, az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendeletében (a továbbiakban: GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvényben (a továbbiakban: Infotv.) kapott felhatalmazás alapján a személyes adatok kezelési rendjét az alábbiak szerint állapítom meg.
I. Általános rendelkezések
A Szabályzat célja
Jelen Szabályzat a személyes adatok kezelésére vonatkozó legfontosabb adatvédelmi szabályokat tartalmazza, különös tekintettel az adatkezeléssel, adattovábbítással, adatközlésekkel, adatfeldolgozással kapcsolatos adatvédelmi követelményekre.
A Szabályzat célja, hogy a GDPR-ban előírt elveknek megfelelően meghatározza a személyes adatok kezelésének rendjét, biztosítsa a személyes adatok védelme alkotmányos elveinek, az információs önrendelkezési jognak és az adatbiztonság követelményeinek érvényesülését, továbbá a kezelt személyes adatok jogosulatlan felhasználásának megakadályozása érdekében meghatározza a személyes adatok kezelése során irányadó adatvédelmi és adatbiztonsági előírásokat.
Az adatvédelmi felelős gondoskodik arról, hogy a jelen Szabályzat hatálya alá tartozó személyek a Szabályzatot a szükséges mértékben megismerjék.
Értelmező rendelkezések
E Szabályzat alkalmazása során a GDPR-ban, az Infotv.-ben rögzített fogalmakat és a következő meghatározásokat kell figyelembe venni:
adatgazda: annak a szervezeti egységnek a vezetője, ahová jogszabály vagy közjogi szervezetszabályozó eszköz az adat kezelését rendeli, illetve ahol az adat keletkezik;
adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
az adatkezelés korlátozása: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából;
adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;
adatfeldolgozás: az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől, feltéve hogy a technikai feladatot az adatokon végzik;
adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel;
álnevesítés: a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni;
címzett: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak;
érintett: bármely meghatározott, személyes adat alapján azonosított, vagy – közvetlenül vagy közvetve – azonosítható természetes személy;
harmadik fél: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak;
az érintett hozzájárulása: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;
információs önrendelkezési jog: az Alaptörvény VI. cikkében biztosított személyiségi autonómia részét képező személyes adatok védelméhez való jog, amely szerint – a törvény adta keretek között – mindenki maga rendelkezik személyes adatainak feltárásáról és felhasználásáról;
közérdekű adat: az állami vagy helyi önkormányzati feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében lévő és tevékenységére vonatkozó vagy közfeladatának ellátásával összefüggésben keletkezett, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől, így különösen a hatáskörre, illetékességre, szervezeti felépítésre, szakmai tevékenységre, annak eredményességére is kiterjedő értékelésére, a birtokolt adatfajtákra és a működést szabályozó jogszabályokra, valamint a gazdálkodásra, a megkötött szerződésekre vonatkozó adat;
közérdekből nyilvános adat: a közérdekű adat fogalma alá nem tartozó minden olyan adat, amelynek nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét törvény közérdekből elrendeli;
különleges adat: a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok;
nemzeti minősített adat: a minősítéssel védhető közérdekek körébe tartozó, a minősítési jelölést a minősített adat védelméről szóló 2009. évi CLV. törvényben, valamint felhatalmazása alapján kiadott jogszabályokban meghatározott formai követelményeknek megfelelően tartalmazó olyan adat, amelyről – a megjelenési formájától függetlenül – a minősítő a minősítési eljárás során megállapította, hogy az érvényességi időn belüli nyilvánosságra hozatala, jogosulatlan megszerzése, módosítása vagy felhasználása, illetéktelen személy részére hozzáférhetővé, valamint az arra jogosult részére hozzáférhetetlenné tétele a minősítéssel védhető közérdekek közül bármelyiket közvetlenül sérti vagy veszélyezteti és tartalmára tekintettel annak nyilvánosságát és megismerhetőségét a minősítés keretében korlátozza;
külföldi minősített adat: az Európai Unió valamennyi intézménye és szerve, továbbá az Európai Unió képviseletében eljáró tagállam, a külföldi részes fél vagy nemzetközi szervezet által készített és törvényben kihirdetett nemzetközi szerződés vagy megállapodás alapján átadott olyan adat, amelyhez történő hozzáférést az Európai Unió intézményei és szervei, az Európai Unió képviseletében eljáró tagállam, más állam vagy külföldi részes fél, illetve nemzetközi szervezet minősítés keretében korlátozza;
személyes adat: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
nyilvántartási rendszer: a személyes adatok bármely módon - centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint - tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető;
adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
II. A személyes adatok kezelésére vonatkozó szabályok
Az adatvédelem a személyes és ezen belül a különleges adatok olyan jogi védelme, amely az egyének magánszférájának védelmét, az érintett információs önrendelkezési jogának biztosítását célozza az érintettel kapcsolatba hozható személyes adatok kezelésének normatív szabályozása által.
Az adatvédelem alapelvei
A személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben a személyes adatok kezelésére a GDPR 6. cikk (1) bekezdésében meghatározott és jelen Szabályzat II. fejezetében található, Az adatok kezelésének jogalapja c. részben kifejtett jogalapok valamelyike alapján kerül sor.
A célhoz kötöttség elve alapján kizárólag oly módon lehet személyes adatot kezelni, hogy az meghatározott, egyértelmű és jogszerű célból történjen, és a személyes adatokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon. A személyes adatoknak az adattakarékosság elve alapján az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk, azaz csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen és a cél elérésére alkalmas, továbbá csak olyan mértékben és ideig, amely mértékben, és amely ideig ez a cél eléréséhez feltétlenül szükséges. Amennyiben az adatkezelés célja megszűnt, az adatot haladéktalanul – legkésőbb a jogszabályban előírt határidő leteltével – törölni kell. A konkrét célhoz nem köthető adatkezelés tilos.
A korlátozott tárolhatóság elvének megfelelően a személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. A személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a GDPR 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, a GDPR-ban az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel.
A pontosság elve alapján köteles az adatkezelő mindent megtenni annak érdekében, hogy a kezelt személyes adatok pontosak és szükség esetén naprakészek legyenek. E körben minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék, és a naprakész jelleget rendszeres ellenőrzések útján biztosítsák. A helyesbítésre a jelen Szabályzat IV. fejezetében található, Az érintett jogai c. rész előírásait kell alkalmazni.
Az integritás és bizalmas jelleg elve alapján az adat kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.
Az adatok kezelésének jogalapja
Személyes adat akkor kezelhető, ha ahhoz a GDPR 6. cikk (1) bek. a-f) pontjai szerinti, alább felsorolt feltételek legalább egyike teljesült.
A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
az érintett megfelelő hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
A GDPR 6. cikk (1) bek. a) pontja szerinti jogalap esetén az adatkezelés alapjául kizárólag az érintett megfelelő, előzetes tájékoztatásán alapuló (lásd.: IV. fejezet Az érintettek jogainak érvényesítése), önkéntes, konkrét, egyértelmű (azaz tevőleges magatartással kifejezett) hozzájárulása szolgálhat, amelyben félreérthetetlen beleegyezését adja a szükséges személyes adatok meghatározott célból, meghatározott körben és meghatározott ideig történő kezeléséhez. A hozzájárulás megszerzése során az érintettet kifejezetten figyelmeztetni kell a beleegyezés önkéntességére, arra, hogy hozzájárulását bármikor visszavonhatja. A gyermekek hozzájárulásán alapuló adatkezelésénél különösen figyelemmel kell lenni a GDPR 8. cikkére. Információs társadalommal összefüggő szolgáltatás gyermek részére történő közvetlen kínálása esetén a hozzájárulás érvényességét a GDPR és az alkalmazandó tagállami szabályok szerint kell megítélni.
A hozzájárulást minden esetben utólag igazolható módon kell rögzíteni (pl. írásbeli hozzájárulás esetén az érintett aláírásával megerősített nyilatkozat).
A vagyonvédelmi elektronikus megfigyelőrendszerei tekintetében biztosítani kell a személy- és vagyonvédelmi, valamint a magánnyomozói tevékenység szabályairól szóló 2005. évi CXXXIII. törvény követelményeinek érvényesülését. Az adatkezelés jogalapja a jogos érdek. A nyilvános helyek nagymértékű megfigyelése esetén - különösen, ha ezt elektronikus optikai eszközök alkalmazásával hajtják végre - biztosítani kell a GDPR követelményeinek, különösen az adatvédelmi hatásvizsgálatnak megvalósítását.
Kötelező előzetes és jól észlelhető figyelemfelhívó jelzést és tájékoztatást elhelyezni arról a tényről, hogy az adott területen elektronikus megfigyelőrendszer kerül alkalmazásra. Az írásbeli tájékoztatásnak legalább ki kell terjednie:
az adatkezelés jogalapjára,
az egyes kamerák elhelyezésére és a vonatkozásukban fennálló célra, az általuk megfigyelt területre, tárgyra, illetőleg arra, hogy az adott kamerával közvetlen vagy rögzített megfigyelést végez-e,
az elektronikus megfigyelőrendszert üzemeltető személy meghatározására,
a felvétel tárolásának helyére és időtartamára,
a felvételek tárolásával kapcsolatos adatbiztonsági intézkedésekre,
az adatok megismerésére jogosult személyek körére, illetőleg arra, hogy a felvételeket mely személyek, szervek részére, milyen esetben továbbíthatja,
a felvételek visszanézésére vonatkozó szabályokra, illetőleg arra, hogy a felvételeket milyen célból lehet felhasználni,
arra, hogy az érintetteket milyen jogok illetik meg az elektronikus megfigyelőrendszerrel összefüggésben és milyen módon tudják gyakorolni a jogaikat,
arra, hogy az információs önrendelkezési joguk megsértése esetén milyen jogérvényesítési eszközöket vehetnek igénybe.
Személyes adatokat kezelni, adatállományokat vagy nyilvántartásokat létrehozni csak a GDPR-ban meghatározott, jelen fejezet Az adatvédelem alapelvei c. részében foglalt alapelvek betartásával lehet.
Az adatkezelés megkezdésének személyzeti feltételei
Jogviszony létesítését megelőzően az adatgazda jelen Szabályzatot átadja az új belépő részére, aki ennek megismerését nyilatkozat aláírásával igazolja, és személyi anyagába teszi.
Az adatvédelemre vonatkozó jogszabályi környezet megváltozásakor, továbbá e Szabályzat tartalmát érintő jelentős változás következik be a foglalkoztatottat tájékoztatni szükséges ezek tartalmáról.
III. Adatközlések
Az adatközlések típusai
Személyes adat harmadik féllel való közlése adattovábbítás, nyilvánosságra hozatal vagy egyéb módon történő hozzáférhetővé tétel útján valósulhat meg.
Adattovábbításnak minősül, ha az adatot meghatározott harmadik személy számára hozzáférhetővé teszik. Az adattovábbítás mint adatkezelési művelet is csak a GDPR 6. cikkében foglalt, megfelelő jogalap fennállása mellett történhet.
Az adat nyilvánosságra hozatala esetén az adat bárki számára hozzáférhetővé válik.
Az adattovábbítás rendjére vonatkozó általános szabályok
A személyes adatot továbbítani csak a GDPR 6. cikkében foglalt jogalapok valamelyikének teljesülése esetén, a célhoz kötöttség elvének és az adatkezelés GDPR-ban foglalt, jelen Szabályzat II. fejezetének Az adatvédelem alapelvei c. részében foglalt egyéb alapelveinek maradéktalan érvényesítésével lehet.
Csak olyan személyes adat továbbítható, amely adat tekintetében adatkezelőnek minősül a vállalkozás.
Abban az esetben, amikor valamely adattovábbítási kérelem olyan személyes adatra vonatkozik, amely esetében az adatkezelő szerv egy másik szerv, a kérelmet – jogszabály kifejezett eltérő rendelkezése hiányában – el kell utasítani, és a kérelmezőt tájékoztatni kell arról, hogy a kért adatokat mely szervtől igényelheti.
A teljesíthetőség feltételei körében minden esetben meg kell vizsgálni, hogy megvan–e az adatkérés teljesítéséhez szükséges jogalap, a megkeresés megfelel–e a célhoz kötöttség elvének és és teljesülnek–e az adatkezelés egyéb alapelvei (32-36. pont). Ezen feltételeknek minden egyes továbbítandó személyes adat vonatkozásában fenn kell állniuk függetlenül attól, hogy milyen jogalap szerint történik az adatközlés.
Az adattovábbításra irányuló kérelem abban az esetben teljesíthető, ha az tartalmazza az adattovábbítás célját, jogalapját (GDPR 6. cikk c) és e) pontjai esetében az alapul szolgáló törvényi rendelkezés pontos megjelölését), a kért adatok pontos körének meghatározását, az érintett személy azonosításához szükséges adatokat, több személyre vonatkozó adatigénylés esetén az érintettek azonosításához szükséges csoportképző jellemzőket.
Amennyiben a teljesíthetőség feltételei fennállnak, a megkeresést benyújtó harmadik fél vagy a személyes adatra igényt tartó szervezeti egység rendelkezésére kell bocsátani az adatokat.
A kezelt személyes adatok külön megkeresésre történő egyedi és csoportos továbbításáról Adattovábbítási Nyilvántartást kell vezetni.
A személyes adatok személyazonosításra alkalmatlan módon feldolgozott, anonimizált, statisztikai célú továbbítása megengedett.
Személyes adatok nyilvánosságra hozatala
A kezelt személyes adatok nyilvánosságra hozatala – kivéve, ha azt jogszabály rendeli el tilos.
Személyes adatok átadása döntés-előkészítési vagy statisztikai célú adatkezelésre
Az adatok a GDPR 6. cikk a) és e) pontjában meghatározott adatkezelési feladatokhoz kapcsolódó döntés–előkészítési, hatásvizsgálati célra a vonatkozó jogszabályi előírásoknak megfelelően felhasználható. A személyes adatok e célokból való átadásának részletes eljárási szabályait a vonatkozó jogszabályok tartalmazzák.
Az anonimizálás során a természetes és mesterséges azonosítókat törölni kell. Szükség esetén az adatok pontosságának csökkentése további eszköz lehet az érintettek azonosíthatóságának elkerülésére. A pontosság csökkentése akkor megfelelő, ha a csökkentett pontosság mellett az adatok közvetve sem hozhatóak összefüggésbe az érintettel. Az adatok pontosságának csökkentése kérdésében a jelen Szabályzatban foglaltak figyelembevételével az adatkezelésért felelős szervezeti egység vezetője – szükség esetén az adatvédelmi tisztviselő véleményének kikérése után – dönt.
A kért adatok átadását meg kell tagadni, ha azok nem foszthatók meg személyes adat jellegüktől, vagyis ha az információt nem lehet anonimizálni. A megtagadást írásban indokolni kell.
A személyes adatok statisztikai célú adatkezelésének garanciáit a GDPR 89. cikke, a részletes nemzeti szabályait a hivatalos statisztikáról szóló 2016. évi CLV. törvény, valamint a kutatás és közvetlen üzletszerzés célját szolgáló név– és lakcímadatok kezeléséről szóló 1995. évi CXIX. törvény határozza meg.
IV. Az érintettek jogainak érvényesítése
Az érintett jogai
Tájékoztatás
A GDPR III. fejezete 2. szakasza alapján megkülönböztetünk az érintettek részére külön kérés nélkül biztosított tájékoztatást, valamint az érintett kérésére/megkeresésére adott hozzáférési jogot.
A tájékoztatás jogán belül eltérnek a rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik, valamint ha a személyes adatokat nem az érintettől szerezték meg. Az egyes tájékoztatási esetek részletszabályait az alábbi bekezdések tartalmazzák.
Tájékoztatás az érintettől gyűjtött adatok esetén
Az érintettet a személyes adatok megszerzésének időpontjában tájékoztatni kell a személyes adatainak kezeléséről, biztosítani kell számára az alábbiakat:
az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
az adatvédelmi tisztviselő elérhetőségei,
a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az adatkezelő vagy harmadik fél jogos érdekei;
adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.
Kiegészítő információk:
a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;
az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint hogy az érintett köteles-e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;
a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.
A fenti tájékoztatásokat nem kell megadni, ha és amilyen mértékben az érintett már rendelkezik az információkkal.
Tájékoztatás nem az érintettől megszerzett adatok esetén
Ha a személyes adatokat nem az érintettől szerezték meg, az érintett rendelkezésére kell bocsátani a következő információkat:
az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
az érintett személyes adatok kategóriái;
a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az ezek másolatának megszerzésére szolgáló módokra vagy az elérhetőségükre való hivatkozás.
Kiegészítő információk:
a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;
az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;
a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e; és
a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.
A fenti tájékoztatást az alábbiak szerint kell megadni:
a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított ésszerű határidőn, de legkésőbb egy hónapon belül;
ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legalább az érintettel való első kapcsolatfelvétel alkalmával; vagy
ha várhatóan más címzettel is közlik az adatokat, legkésőbb a személyes adatok első alkalommal való közlésekor.
A fenti tájékoztatást nem kell biztosítani, ha és amilyen mértékben:
az érintett már rendelkezik az információkkal;
a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne;
az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy magyar jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; vagy
a személyes adatoknak valamely uniós vagy tagállami jogban előírt szakmai titoktartási kötelezettség alapján, ideértve a jogszabályon alapuló titoktartási kötelezettséget is, bizalmasnak kell maradnia.
Közös szabályok az érintettől gyűjtött és a nem az érintettől megszerzett adatok esetén
Mind az érintettől gyűjtött adatok, mind pedig a nem az érintettől megszerzett adatok esetén a tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthető formában kell megadni az érintett részére írásban vagy más módon kell megadni.
A tájékoztatás megadása csak akkor hagyható el, ha a kért adatokat a megfelelő eljárás keretében előzetesen minősített adattá nyilvánította. A tájékoztatás elmaradásának indokait az érintettel minden esetben írásban, közérthető formában közölni kell.
A tájékoztatást minden esetben az adatot kezelő teljesíti.
Hozzáférési jog
Az érintett jogosult arra, hogy visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy hozzáférést kapjon a személyes adatokhoz és a következő információkhoz: az adatkezelés céljai, az érintett személyes adatok kategóriái, azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják (ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket), adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai, az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga, ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ, és a GDPR 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.
Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a GDPR 46. cikk szerinti megfelelő garanciákról.
Az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.
Helyesbítés
Az érintett jogosult arra, hogy kérésére indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok - egyebek mellett kiegészítő nyilatkozat útján történő - kiegészítését.
Törlés
Az érintett jogosult arra, hogy kérésére indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölni, ha az alábbi indokok valamelyike fennáll:
a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;
az érintett visszavonja a GDPR 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;
az érintett a GDPR 21. cikk (1) bekezdése alapján tiltakozik az adatkezelés ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre,
a személyes adatokat jogellenesen kezelték;
a személyes adatokat az alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;
a személyes adatok gyűjtésére a GDPR 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.
A személyes adat nem törölhető, amennyiben az adatkezelés szükséges:
a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;
a személyes adatok kezelését előíró alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;
a GDPR 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján;
a GDPR 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben a törléshez való jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy
jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.
Adatkezelés korlátozásához való jog
Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:
az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;
az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy
az érintett a GDPR 21. cikk (1) bekezdése szerint tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.
Ha az adatkezelés a fentiek alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.
Adathordozhatósághoz való jog
Az érintett jogosult arra, hogy a rá vonatkozó, általa rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha:
az adatkezelés a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja szerinti hozzájáruláson, vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen alapul; és
az adatkezelés automatizált módon történik.
Az adatok hordozhatóságához való jog gyakorlása során az érintett jogosult arra, hogy - ha ez technikailag megvalósítható - kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.
Az adathordozhatósághoz való jog gyakorlása nem sértheti a GDPR 17. cikkét. Az említett jog nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges. Ezen jog nem érintheti hátrányosan mások jogait és szabadságait.
Tiltakozás
Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak a 6. cikk (1) bekezdésének e) vagy f) pontján alapuló kezelése ellen, ideértve az említett rendelkezéseken alapuló profilalkotást is. Ebben az esetben a személyes adatokat nem kezelheti tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.
A tiltakozáshoz való jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.
Az adatkezelést végző a tiltakozást a kérelem benyújtásától számított legrövidebb időn belül, de legfeljebb egy hónapon belül megvizsgálja, annak megalapozottsága kérdésében döntést hoz, és a döntéséről a kérelmezőt írásban tájékoztatja. Ha a társaságnál adatvédelmi tisztviselő került kijelölésre, a tájékoztatást részére is meg kell küldeni.
Az érintett tiltakozása elbírálásának időtartamára az adatkezelést a 73. pont d) alpontja szerint korlátozni kell.
Amennyiben megállapításra kerül az érintett tiltakozásának megalapozottsága, az adatkezelést végző gondoskodik az adatkezelés megszüntetéséről és az adatok kezelésének korlátozásáról.
Megalapozott tiltakozás megállapítása esetén az adatkezelő szervezeti egység vezetője írásban értesíti mindazokat, akiknek a részére a tiltakozással érintett személyes adatot korábban továbbították. Ennek alapján utóbbiak szintén kötelesek az adatkezelés megszüntetéséről az előző bekezdésben foglaltak szerint gondoskodni.
Az érintetti jogok érvényesítésének közös szabályai
A helyesbítésről, a korlátozásáról és a törlésről értesíteni kell minden címzettet, akivel, illetve amellyel a személyes adatot közölték. Az értesítés mellőzhető, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére tájékoztatni kell e címzettekről.
A GDPR 23. cikk szerinti felhatalmazás alapján az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát.
V. Adatfeldolgozó, adatfeldolgozói felelősség
A GDPR Preabulum (81)-(83) bekezdései és 28. cikke határozza meg az adatfeldolgozóra és az adatfeldolgozásra vonatkozó követelményeket. Az adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan – az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit (különösen az utasítások betartására, titoktartásra, közreműködőkért való és egyéb felelősségi esetekre vonatkozó kötelezettségeket) és jogait meghatározó – szerződésnek vagy más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben.
Az írásban rögzítendő adatfeldolgozásra vonatkozó szerződésnek tételesen tartalmaznia kell a GDPR 28. cikk (3) bekezdésében előírtakat, valamint az adatvédelmi incidensekkel kapcsolatos előírásokat. Adatfeldolgozásra nem köthető szerződés olyan személlyel, vagy vállalkozással, aki, vagy amely érdekelt a feldolgozandó személyes adatokat felhasználó egyéb üzleti tevékenységben. Adatfeldolgozásra nem köthető szerződés megfelelő adatfeldolgozói garanciák kikötése nélkül, melyek az adatkezelésnek a GDPR követelményeinek való megfelelését és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtását hivatottak biztosítani. A szerződésben rögzíteni kell, hogy az adatfeldolgozó segíti az adatkezelőt a GDPR 32–36. cikk szerinti kötelezettségei – különösen az adatbiztonsággal, adatvédelmi incidensekkel kapcsolatos feladatai teljesítésében, figyelembe véve az adatkezelés jellegét és az adatfeldolgozó rendelkezésére álló információkat;
Az adatfeldolgozó tevékenységi körén belül, illetőleg az adatkezelő által meghatározott keretek között felelős a személyes adatok feldolgozásáért, megváltoztatásáért, törléséért, továbbításáért, zárolásáért és nyilvánosságra hozataláért. Az adatfeldolgozó tevékenységének ellátása során más adatfeldolgozót eseti vagy általános felhatalmazása nélkül nem vehet igénybe.
Adatfeldolgozó igénybevétele esetén dokumentáltan gondoskodni kell arról, hogy az adatfeldolgozásra irányuló szerződésekben jelen Szabályzat ismerete és betartása, továbbá a titoktartás, mint kötelezettség, a szerződő félre, valamint azok foglalkoztatottjaira is kiterjedjen.
VI. Az adatbiztonság általános szempontjai
Az adatkezelő köteles gondoskodni a kockázatok mértékének megfelelő szintű adatbiztonságról. A továbbított, tárolt vagy más módon kezelt adatokat védeni kell az egyes veszélyeztető tényezőktől, így különösen a jogosulatlan hozzáféréstől, a véletlen vagy jogellenes megváltoztatástól, továbbítástól, elvesztéstől, nyilvánosságra hozataltól, törléstől, bármely sérüléstől, valamint a megsemmisítéstől, továbbá az alkalmazott technika megváltozásából adódó hozzáférhetetlenné válástól.
Az adatok biztonságát szolgáló intézkedések (ideértve a logikai (pl. hálózatbiztonsági intézkedések) és a fizikai (pl. belépési jogosultságok ellenőrzése) biztonsági eseményeket is) meghatározásakor és alkalmazásakor tekintettel kell lenni a tudomány és a technika mindenkori fejlettségére és a megvalósítás költségeire. Több lehetséges adatkezelési megoldás közül azt kell választani, amely a személyes adatok magasabb szintű védelmét biztosítja.
A megfelelő adatbiztonsági szint meghatározásához kockázatelemzést kell készíteni az adatkezelés jellege, hatóköre, körülményei és céljai, a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázatok figyelembevételével. A kockázatelemzés során a következők mentén kell haladni:
Az adatkezelés leírása
Az adatkezelés alapvető jellemzőinek meghatározása (így a kezelt adatok köre, jogalapja, célja, időtartama, címzettek stb.)
Az adatáramlás folyamatának meghatározása (adat felvételétől a törlésig)
Kockázatok azonosítása
Belső kockázatok (ideértve az emberi (szándékos vagy gondatlan) és a nem emberi kockázati tényezőket is)
Külső kockázatok (ideértve az emberi (szándékos vagy gondatlan) és a nem emberi kockázati tényezőket is)
A fentiek elvégzését követően fel kell tárni a fenyegetettségeket és a kockázatot jelentő eseményeket, valamint azok érintettre gyakorolt hatását.
Végezetül értékelni kell a fenyegetettségek bekövetkezési valószínűségét és a kockázatot jelentő események súlyosságát.
A kockázatelemzést alapul véve megfelelő technikai és szervezési intézkedéseket kell alkalmazni, ideértve többek között a következőket:
a személyes adatok álnevesítését és titkosítását;
a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét, ennek során az adatok kezeléséhez használt informatikai eszközöket úgy üzemelteti, hogy a kezelt személyes adatok csak az arra feljogosítottak számára legyenek hozzáférhetőek (adat bizalmassága), de számukra folyamatos legyen az elérhetőség (rendelkezésre állás), továbbá az informatikai rendszer úgy került felépítésre, hogy a kezelt személyes adatok a hitelessége és hitelesítése biztosított legyen (adatkezelés hitelessége), amit széles körű naplózási rendszerrel biztosít, ami megfelelően támogatja és igazolja a személyes adatok szabályozott módosíthatóságát, illetve változatlanságát (adatintegritás);
fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;
az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást.
Adatbiztonsági szempontból a személyes adatok és a különleges adatok egyaránt érzékeny, védendő adatnak minősülnek. Az egyes szükséges adatbiztonsági intézkedések meghatározása céljából minden egyes adatállományt a védelmi igény szempontjából - a kockázatelemzést alapul véve - értékelni kell, és a kockázatokkal arányos megfelelő technikai és szervezési intézkedéseket kell alkalmazni.
VII. Adatkezelés formái a Csevapivo Kft.-nél
Az adatkezelés 2 formája:
Kamerafelvételekkel kapcsolatos adatkezelés: Az érintetteket írásban tájékoztatni kell az üzletben elhelyezett dokumentum kifüggesztésével. A tájékoztatásnak jól észlelhető figyelemfelhívó jelzésnek kell lennie és tájékoztatást kell adnia arról a tényről, hogy az adott területen elektronikus megfigyelőrendszer kerül alkalmazásra. Az írásbeli tájékoztatásnak (1. számú melléklet) legalább ki kell terjednie:
az adatkezelés jogalapjára,
az egyes kamerák elhelyezésére és a vonatkozásukban fennálló célra, az általuk megfigyelt területre, tárgyra, illetőleg arra, hogy az adott kamerával közvetlen vagy rögzített megfigyelést végez-e,
az elektronikus megfigyelőrendszert üzemeltető személy meghatározására,
a felvétel tárolásának helyére és időtartamára,
a felvételek tárolásával kapcsolatos adatbiztonsági intézkedésekre,
az adatok megismerésére jogosult személyek körére, illetőleg arra, hogy a felvételeket mely személyek, szervek részére, milyen esetben továbbíthatja,
a felvételek visszanézésére vonatkozó szabályokra, illetőleg arra, hogy a felvételeket milyen célból lehet felhasználni,
arra, hogy az érintetteket milyen jogok illetik meg az elektronikus megfigyelőrendszerrel összefüggésben és milyen módon tudják gyakorolni a jogaikat,
arra, hogy az információs önrendelkezési joguk megsértése esetén milyen jogérvényesítési eszközöket vehetnek igénybe.
A vállalkozás a vendégek és látogatók számára nyitva álló helyiségeiben az emberi élet, testi épség, személyi szabadság, az üzleti titok védelme és a vagyonvédelem céljából elektronikus megfigyelőrendszert alkalmaz, amely közvetlen megfigyelést vagy kép-, hang-, vagy kép- és hangrögzítést és tárolást is lehetővé tesz, ez alapján személyes adatnak tekinthető az érintett magatartása is, amit a kamera rögzít.
Ezen adatkezelés jogalapja a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdek. A kamerás megfigyelés alkalmazása előtt az adatkezelő dokumentálja a jogos érdeket, valamint a megfigyelés szükségességét és arányosságát.
A megfigyelt területre belépő harmadik személyeket (ügyfelek, látogatók, vendégek) a kamerás megfigyelésről a belépést megelőzően jól látható figyelemfelhívó jelzéssel és könnyen hozzáférhető részletes tájékoztatóval kell tájékoztatni. A tájékoztatásnak ki kell térnie különösen az adatkezelő személyére, az adatkezelés céljára és jogalapjára, a megőrzési időre, a felvételekhez hozzáférők körére, valamint az érintetti jogokra és azok gyakorlásának módjára.
A Csevapivo Kft. a rögzített felvételeket főszabály szerint legfeljebb 3 (három) munkanapig őrzi meg. A megőrzési idő leteltével a felvételek automatikusan törlendők vagy felülírandók, kivéve, ha egy konkrét esemény miatt a felvétel megőrzése jogi igény előterjesztéséhez, érvényesítéséhez vagy védelméhez, illetve hatósági vagy bírósági eljáráshoz szükséges. Ilyen esetben kizárólag a szükséges felvétel őrizhető meg a szükséges ideig.
Az érintett a rá vonatkozó felvétellel kapcsolatban a GDPR-ban meghatározott jogait gyakorolhatja, így különösen kérheti a hozzáférést, az adatkezelés korlátozását, illetve a jogszabályi feltételek fennállása esetén a törlést, továbbá tiltakozhat a jogos érdeken alapuló adatkezelés ellen. Ha egy konkrét felvétel megőrzése jogi igény érvényesítéséhez szükséges, azt a felvétel automatikus törlése előtt jelezni kell az adatkezelőnek.
Az emberi méltóságot sértő helyiségekben, így különösen öltözőben, zuhanyzóban, mosdóban és illemhelyen kamerás megfigyelés nem alkalmazható. A rögzített adatok megtekintésére kizárólag azok a személyek jogosultak, akiknek a hozzáférése a jogsértések feltárásához, jogi igények érvényesítéséhez vagy a rendszer működésének ellenőrzéséhez szükséges. A hozzáféréseket dokumentálni kell.
Munkavállalók adatainak kezelése:
A munkavállalók jogviszony létesítéséhez szükséges adatainak kezelése a 2., 3., 4., 5. mellékletekben részletezett módokon valósul meg. A munkavállalókat tájékoztatni kell a jogszabályokban foglalt jogaikról és kötelezettségükről. A munkáltató az 5. melléklet szerinti tájékoztató munkavállalóval történő megismertetésével és annak aláírásával tesz eleget.
A munkavállalóktól kizárólag olyan adatok kérhetők és tarthatók nyilván, valamint olyan munkaköri orvosi alkalmassági vizsgálatok végezhetők, amelyek munkaviszony létesítéséhez, fenntartásához és megszüntetéséhez, illetve a szociális-jóléti juttatások biztosításához szükségesek és a munkavállaló személyhez fűződő jogait nem sértik.
A munkáltató jogos érdekeinek érvényesítése (Rendelet 6. cikk (1) bekezdése f)) jogcímén munkaviszony létesítése, teljesítése vagy megszűnése céljából kezeli a munkavállaló alábbi adatait:
1. név
2. születési név,,
3. születési ideje,
4. anyja neve,
5. lakcíme,
6. állampolgársága,
7. adóazonosító jele,
8. TAJ száma,
9. nyugdíjas törzsszám (nyugdíjas munkavállaló esetén),
10. telefonszám,
11. e-mail cím,
12. személyi igazolvány száma,
13. lakcímet igazoló hatósági igazolvány száma,
14. bankszámlaszáma,
15. online azonosító (ha van)
16. munkába lépésének kezdő és befejező időpontja,
17. munkakör,
18. iskolai végzettségét, szakképzettségét igazoló okmány másolata,
19. fénykép,
20. önéletrajz,
21. munkabérének összege, a bérfizetéssel, egyéb juttatásaival kapcsolatos adatok,
22. a munkavállaló munkabéréből jogerős határozat vagy jogszabály, illetve írásbeli hozzájárulása alapján levonandó tartozást, illetve ennek jogosultságát,
23. a munkavállaló munkájának értékelése,
24. a munkaviszony megszűnésének módja, indokai,
25. munkakörtől függően erkölcsi bizonyítványa
26. a munkaköri alkalmassági vizsgálatok összegzése,
27. magánnyugdíjpénztári és önkéntes kölcsönös biztosító pénztári tagság esetén a pénztár megnevezése, azonosító száma és a munkavállaló tagsági száma,
28. külföldi munkavállaló esetén útlevélszám; munkavállalási jogosultságot igazoló dokumentumának megnevezését és száma,
29 munkavállalót ért balesetek jegyzőkönyveiben rögzített adatokat;
30. a jóléti szolgáltatás, kereskedelmi szálláshely igénybe vételéhez szükséges adatokat;
31. a Társaságnál biztonsági és vagyonvédelmi célból alkalmazott kamera és beléptető rendszer,
illetve a helymeghatározó rendszerek által rögzített adatokat.
Bármely adatot a munkáltató csak a Munka Törvénykönyvben meghatározott jog, vagy kötelezettség teljesítése céljából kezel.
A kezelést végző személyek köre: a munkáltató vezetője, munkáltatói jogkör gyakorlója, a Társaság munkaügyi feladatokat ellátó munkavállalói és adatfeldolgozói, a társaság tulajdonosai. A munkavállalót az adatkezelésről tájékoztatni kell.
A személyes adatok tárolásának időtartama: a munkaviszony megszűnését követő 3 év.
A munkaügyi adatokat kizárólagosan az ügyvezető számítógépe tartalmazza, melyhez kizárólagosan az ügyvezető fér hozzá és továbbítja az adatfeldolgozó könyvelőnek.
Pályázatok, önéletrajzok
A kezelhető személyes adatok köre: a természetes személy neve, születési ideje, helye, anyja neve, lakcím, képesítési adatok, fénykép, telefonszám, e-mail cím, a jelentkezőről készített munkáltatói feljegyzés (ha van).
A személyes adatok kezelésének célja: jelentkezés, pályázat elbírálása, a kiválasztottal munkaszerződés kötése. Az érintettet tájékoztatni kell arról, ha a munkáltató nem őt választotta az adott állásra.
Az adatkezelés jogalapja: az érintett hozzájárulása.
A személyes adatok címzettjei, illetve a címzettek kategóriái: a munkáltatói jogok gyakorlására jogosult vezető, munkaügyi feladatokat ellátó munkavállalók.
A személyes adatok tárolásának időtartama: A jelentkezés, pályázat elbírálásáig. A ki nem választott jelentkezők személyes adatait törölni kell. Törölni kell annak adatait is, aki jelentkezését, pályázatát visszavonta.
A munkáltató csak az érintett kifejezett, egyértelmű és önkéntes hozzájárulása alapján őrizheti meg a pályázatokat, feltéve, ha azok megőrzésére a jogszabályokkal összhangban álló adatkezelési célja elérése érdekében szükség van. E hozzájárulást a felvételi eljárás lezárását követően kell kérni a jelentkezőktől.
Adatkezelés adó- és számviteli kötelezettségek teljesítése céljából
A vállalkozás jogi kötelezettség teljesítése jogcímén, törvényben előírt adó és számviteli kötelezettségek teljesítése (könyvelés, adózás) céljából kezeli a vevőként, szállítóként vele üzleti kapcsolatba lépő természetes személyek törvényben meghatározott adatait. A kezelt adatok az általános forgalmi adóról szóló 2017. évi CXXVII. tv. 169.§, és 202.§-a alapján különösen: adószám, név, cím, adózási státusz, a számvitelről szóló 2000. évi C. törvény 167.§-a alapján: név, cím, a gazdasági műveletet elrendelő személy vagy szervezet megjelölése, az utalványozó és a rendelkezés végrehajtását igazoló személy, valamint a szervezettől függően az ellenőr aláírása; a készletmozgások bizonylatain és a pénzkezelési bizonylatokon az átvevő, az ellennyugtákon a befizető aláírása, a személyi jövedelemadóról szóló 1995. évi CXVII. törvény alapján: vállalkozói igazolvány száma, őstermelői igazolvány száma, adóazonosító jel.
A személyes adatok tárolásának időtartama a jogalapot adó jogviszony megszűnését követő 8 év.
A személyes adatok címzettjei: a vállalkozás adózási, könyvviteli, bérszámfejtési, társadalombiztosítási feladatait ellátó munkavállalói és adatfeldolgozói.
Kifizetői adatkezelés
A vállalkozás jogi kötelezettség teljesítése jogcímén, törvényben előírt adó és járulékkötelezettségek teljesítése (adó-, adóelőleg, járulékok megállapítása, bérszámfejtés, társadalombiztosítási, nyugdíj ügyintézés) céljából kezeli azon érintettek – munkavállalók, családtagjaik, foglalkoztatottak, egyéb juttatásban részesülők – adótörvényekben előírt személyes adatait, akikkel kifizetői (2017. évi CL. törvény az adózás rendjéről (Art.) 7.§ 31.) kapcsolatban áll. A kezelt adatok körét az Art. 50.§-a határozza meg, külön is kiemelve ebből: a természetes személy természetes személyazonosító adatait (ideértve az előző nevet és a titulust is), nemét, állampolgárságát, a természetes személy adóazonosító jelét, társadalombiztosítási azonosító jelét (TAJ szám). Amennyiben az adótörvények ehhez jogkövetkezményt fűznek, a vállalkozás kezelheti a munkavállalók egészségügyi (Szja tv. 40.§) és szakszervezeti (Szja 47.§(2) b./) tagságra vonatkozó adatokat adó és járulékkötelezettségek teljesítés (bérszámfejtés, társadalombiztosítási ügyintézés) céljából.
A személyes adatok tárolásának időtartama a jogalapot adó jogviszony megszűnését követő 8 év.
A személyes adatok címzettjei: a vállalkozás adózási, bérszámfejtési, társadalombiztosítási (kifizetői) feladatait ellátó munkavállalói és adatfeldolgozói.
Függelékek
Tájékoztató kamerás megfigyelőrendszer alkalmazásáról
Adatkezelési tevékenységek nyilvántartása
Adatfeldolgozói nyilvántartás minta
Tájékoztató a munkavállalók személyes adatainak kezeléséről