ÁLTALÁNOS

ADATKEZELÉSI SZABÁLYZAT

(„Szabályzat”)

Tájékoztató álláspályázók részére – Adatkezelési szabályzat összefoglaló

Ez a dokumentum a FASTRON HUNGÁRIA Kft. által végzett személyes adatkezelések szabályait tartalmazza. Célja, hogy biztosítsa az Ön adatainak jogszerű, tisztességes és átlátható kezelését.

Mit jelent ez Önnek, mint pályázónak?

• Csak olyan adatokat kérünk és kezelünk, amelyek az álláspályázat elbírálásához szükségesek.
• Az adatokat bizalmasan kezeljük, harmadik félnek csak jogszerű keretek között továbbítjuk.
• Önnek joga van tájékoztatást kérni, hozzáférni az adataihoz, kérni azok helyesbítését vagy törlését.
• Az adatkezelés során betartjuk a GDPR és a magyar adatvédelmi jogszabályokat.

A részletes szabályokat az alábbi dokumentum tartalmazza.

Általános rendelkezések

Adatkezelő

Szabályzat célja

A FASTRON az Európai Parlament és a Tanács (EU) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló 2016/679 rendelete („GDPR”) rendelkezései alapján adatkezelőnek minősül és köteles betartani a GDPR-ban, valamint egy adatvédelmi jogszabályokban meghatározott, továbbá a hatósági gyakorlat által kimunkált adatvédelmi szabályokat.

A FASTRON elkötelezett az érintettek személyes adatainak védelme iránt, és mindent megtesz az érintettek információs önrendelkezési jogának, azon belül a személyes adataik védelméhez fűződő jogának tiszteletben tartása érdekében.

Mindezek érdekében a FASTRON a jelen Szabályzatot alkotta meg a szervezetén belül megvalósuló személyes adatkezelések azonosítására és szabályozására annak érdekében, hogy biztosítsa az érintettek számára személyes adataik jogszerű és tisztességes, valamint átlátható módon történő kezelését. A jelen Szabályzat megalkotása és a FASTRON adatkezelési gyakorlatának kialakítása során a FASTRON különösen az alábbiakat vette figyelembe:

- GDPR;

- az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény;

- Nemzeti Adatvédelmi és Információszabadság Hatóság („NAIH”) gyakorlata;

- Európai Adatvédelmi Testület (angolul: European Data Protection Board; „EDPB”) gyakorlata.

Az adatvédelmi követelményeknek való megfelelés továbbá csak hatékony, a gyakorlatban is megvalósított adatvédelmi irányítással érhető el, amely megvalósításához minden munkatársunk részvétele és közreműködése szükséges a munkatársak saját felelősségi körébe tartozó területeken. Ennek megfelelően a munkatárs köteles a jelen Szabályzatban foglaltakat figyelmesen elolvasni, a rá vonatkozó, munkakörével, illetve feladataival összefüggő fejezeteket elsajátítani, a jelen Szabályzat aktualizálását mindenkor figyelemmel kísérni és az általa végzett adatkezelési tevékenységeket a mindenkor hatályos Szabályzattal összhangban, az abban foglaltak szerint végezni. A munkatárs köteles továbbá az Adatkezelő adatvédelemmel kapcsolatos belső oktatásain, képzésein részt venni.

A Szabályzat hatálya

A Szabályzat időbeli hatálya

A jelen Szabályzat 2025.06.23 napjától hatályos eltérő rendelkezésig.

A Szabályzat személyi hatálya

A jelen Szabályzat személyi hatálya kiterjed:

- az Adatkezelőre;

- a munkatársra;

- azon személyekre, amely személyek személyes adatait a jelen Szabályzat hatálya alá tartozó adatkezelések érintik.

A Szabályzat tárgyi hatálya

A jelen Szabályzat tárgyi hatálya kiterjed az Adatkezelő által végzett valamennyi személyes adatokat érintő adatkezelési tevékenységre, függetlenül attól, hogy az elektronikusan és/vagy papíralapon történik, illetve, hogy azt az Adatkezelő más megbízásából végzi-e.

A Szabályzat felülvizsgálata

Az Adatkezelő kiemelten fontosnak tartja, hogy adatkezelési gyakorlata mindenkor hatályos jogszabályoknak megfeleljen, valamint tartalmazza a NAIH által megfogalmazott „best practice”-eket. Erre tekintettel az Adatkezelő adatkezelési gyakorlatát rendszeres időközönként felülvizsgálja, és amennyiben szükséges, úgy a jelen Szabályzatot módosítja.

Adatvédelmi alapfogalmak

A jelen Szabályzatban használt fogalmakat a GDPR 4. cikke szerinti tartalommal alkalmazzuk. Az alábbiakban a jelen Szabályzat és az Adatkezelőnél végzett adatkezelések szempontjából leglényegesebb fogalmakat ismertetjük.

Az adatkezelés alapelvei és jogszerűsége

Alapelvek

Az Adatkezelő adatkezelési gyakorlata során az alábbi alapelvekre van figyelemmel:

Jogszerűség

Az Adatkezelő biztosítja, hogy valamennyi adatkezelése megfelelő, a GDPR-ban meghatározott valamely jogalapon alapuljon. Egy adatkezelésnek egy jogalapja lehet. Az Adatkezelő által alkalmazható jogalapokat az alábbiakban ismertetjük.

Hozzájárulás

Az adatkezelés érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánításán alapul. Az érintett a hozzájárulást nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet – tehát aktív magatartás – útján jelzi.

Amennyiben az Adatkezelő valamely adatkezelést hozzájárulás jogalapon folytat, a hozzájáruló nyilatkozatra vonatkozó folyamatot úgy alakítja ki, hogy a hozzájárulás megadása utóbb igazolható legyen (pl. papír alapú dokumentumok megtartásával, naplófájlok tárolása révén). Az Adatkezelő biztosítja továbbá, hogy az érintett a hozzájárulását ugyanolyan egyszerű módon tudja visszavonni, mint ahogy a beleegyezését megadta. Az Adatkezelő tájékoztatja az érintettet a hozzájárulás visszavonásának lehetőségéről és módjáról. A hozzájárulás beszerzésére és visszavonására irányuló folyamatot az Adatkezelő adatkezelésenként külön vizsgálja és alakítja ki.

Szerződés teljesítése, megelőző lépések megtétele

Az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges.

Jogi kötelezettség teljesítése

Az adatkezelés az Adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges. A jogi kötelezettség megléte az alábbi esetekben állapítható meg, amely körülményeket az Adatkezelő valamennyi adatkezelésnél külön vizsgál:

• a kötelező adatkezelést uniós jog vagy magyar jogszabály megállapítja és meghatározza annak alapvető körülményeit;
• az adatkezelés jogszabályban foglalt jogi kötelezettség teljesítését írja elő, de nem határozza meg az adatkezelés alapvető körülményeit, viszont az Adatkezelő a jogi kötelezettséget kizárólag személyes adatok kezelésével tudja teljesíteni.

Érintett vagy másik személy létfontosságú érdeke

Az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges.

Jogos érdek

Az adatkezelés az Adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Annak megállapítására, hogy az adott adatkezelés esetén az érintett érdekei vagy alapvető jogai és szabadságai megelőzik-e az Adatkezelő vagy egy harmadik fél jogos érdekét, az adatkezelő érdekmérlegelési tesztet készít.

Az Adatkezelő adatvédelmi szervezete

Az Adatkezelő adatvédelmi szervezetét, adatkezelési folyamatait és működését az Adatkezelő mindenkori képviselői határozzák meg és alakítják ki. Ezen túlmenően az Adatkezelő adatvédelmi szervezete az alábbiak szerint épül fel.

Az Adatkezelő munkatársa

Az Adatkezelő munkatársa a munkaszerződés, a munkaköri leírás, az Adatkezelő belső szabályzatai és utasításai, a belső oktatások és a vonatkozó jogszabályok alapján végez munkát.

A munkatárs köteles

- az adatvédelmi előírásokat betartani, ennek keretében gondoskodni arról, hogy

• az egyes munkatársak kizárólag feladatuk ellátásához szükséges mértékben juthassanak az adatok birtokába;
• a munkatárs által végzett adatkezelés során az adatok a hozzáférésre jogosult más adatgazda, vagy harmadik személyek számára elérhetőek és felhasználhatóak legyenek, ha azok a feladataik elvégzéséhez szükségesek és megfelelő hozzáférési jogosultsággal rendelkeznek;
• az adatok illetéktelen harmadik személyek birtokába kerülésének kockázatát a lehető legkisebb, minimális szinten tartsa;
• a feladatvégzésével összefüggésben az általa létrehozott, vagy birtokába került, papíron rögzített adatokat (pl. manuálisan kitöltött nyomtatvány, kinyomtatott Word vagy Excel dokumentum stb.) megvédje a jogosulatlan hozzáféréstől, az elveszéstől, a fizikai károsodástól és a megsemmisüléstől, az elektronikusan tárolt adatok vonatkozásában a személyes adatokat kezelő rendszerekre vonatkozó biztonsági intézkedéseket megfelelően betartsa;
• az adott terület adatkezelési tevékenysége, annak folyamata a vonatkozó adatvédelmi jogszabályokkal, továbbá az Adatkezelő szabályzataival összhangban történjen;

- az elvárható legnagyobb gondossággal eljárni az adatkezeléssel járó feladatai elvégzése során. Ezzel összefüggésben köteles az Adatkezelő által alkalmazott, mindenkor hatályos vonatkozó jogszabályban, a jelen Szabályzatban, egyéb belső szabályzatban, utasításban, munkaköri leírásban stb. meghatározott technikai és szervezési intézkedéseket megtartani, valamint ezen túlmenően is, mindazt, amit az adott helyzetben az ésszerűség megkövetel;

- a felhasználói azonosító és a jelszó titkos kezelésére, e feladat teljesítése körében az adatgazda az azonosító és jelszó adatait bármilyen adathordozón csak és kizárólag saját felhasználás céljából rögzítheti, és ez esetben gondoskodnia kell arról, hogy ahhoz rajta kívül senki más ne férhessen hozzá. Az adatgazda az elektronikus adattárolási helyeken (pl. nyilvántartási rendszerben) rögzített adatokhoz csak a saját hozzáférési jogosultságának keretei között, a saját felhasználói azonosítójával és jelszavával jogosult hozzáférni.

Amennyiben adatkezeléssel összefüggő feladatok ellátása során a vonatkozó jogszabályok és/vagy az Adatkezelő szabályzatainak rendelkezéseinek értelmezésével és/vagy alkalmazásával kapcsolatos kérdés merül fel, a munkatárs iránymutatást kérhet az ügyvezetéstől.

Munkatárs adatkezeléssel kapcsolatos felelőssége

A munkatárs az adatkezelésre, adatvédelemre vonatkozó jogszabályi rendelkezések, továbbá a jelen Szabályzat, egyéb belső szabályzat, munkaköri leírás, munkáltatói utasítás, adatvédelmi oktatási anyag rendelkezéseinek megszegése esetén a magatartás, vagy mulasztás jellegétől függően

- büntetőjogi és/vagy

- polgári jogi és/vagy

- munkajogi felelősséggel tartozhat.

Az Adatkezelő a jelen adatvédelmi szervezeti hierarchiát vagy a feladatokat tovább bonthatja, részletezheti, vagy módosíthatja.

Valamennyi munkatárs feladata és kötelessége az észlelt, adatvédelmet sértő esemény jelzése (pl. eszközök, adathordozók, azonosító elvesztése; emberi mulasztás; rendszer hibás működése, hozzáférési jogosultságok megsértése), valamint közreműködés az elrendelt intézkedések megvalósításában.

Adatkezelési tevékenységek életciklusa, új adatkezelési tevékenység bevezetése

Az adatkezelési tevékenység életciklusai az alábbiak: (i) adatkezelési tevékenység bevezetése (módosítása), (ii) adatkezelési tevékenység folyamatos alkalmazása, (iii) adatkezelési tevékenység megszüntetése.

Adatkezelési tevékenyég bevezetése (módosítása)

Amennyiben jogszabály rendelkezése és/vagy az Adatkezelő döntése alapján olyan új folyamat kerül bevezetésre (vagy már meglevő adatkezelési folyamat lényegesen módosításra kerül) az Adatkezelő szervezetén belül, amely személyes adatokat érint (adatkezelési folyamat), az Adatkezelő  az alábbi intézkedéseket köteles megtenni a személyes adatok kezelése jogszerűségének biztosítása érdekében:

- azonosítja, illetve meghatározza azon a személyes adatok körét, amelyeket az adatkezelési folyamán kezelni kíván;

- meghatározza a személyes adatok kezelésének célját, illetve megvizsgálja, hogy az adatkezelés alkalmas-e a cél elérésére;

- megvizsgálja, hogy az adatkezelés a cél eléréséhez szükséges-e, illetve azzal arányos;

- megvizsgálja, hogy van-e az érintettre nézve kevésbé korlátozó módja a cél elérésének;

- meghatározza az adatkezelés jogalapját és az adatkezelés egyéb körülményeit (pl. adatfeldolgozók, egyéb címzettek, megőrzési idő);

- megállapítja az adatkezeléssel járó kockázatok bekövetkezésének valószínűségét, valamint a kockázatok súlyosságát, ezt követően a kockázatokkal arányos technikai és szervezési intézkedéseket alkalmaz az adatkezelési folyamat adat- és információbiztonságának biztosítása érdekében;

- megfelelő adatkezelési dokumentációt készít és azt megfelelően kommunikálja az érintettek, valamint minden egyéb olyan személy felé, akire vonatkozóan a dokumentáció releváns információt tartalmaz. A dokumentációval kapcsolatban ld. bővebben a lenti 8. pontot;

- amennyiben az új adatkezelési folyamat bevezetése elektronikus információs rendszert is érint, az adatkezelési folyamat bevezetése során az Adatkezelő köteles gondoskodni az IT osztály bevonásáról, többek között különösen a megfelelő technikai és szervezési intézkedések kialakítása érdekében.

Adatkezelési tevékenység folyamatos alkalmazása

Az adatkezelési tevékenység folyamatos alkalmazása során az Adatkezelő az alábbi intézkedéseket köteles megtenni:

- kapcsolatot tart az adatkezelésben résztvevő személyekkel (pl. adatfeldolgozó);

- figyelemmel kíséri az adatkezelés feltételeinek folyamatos fennállását;

- gondoskodik arról, hogy az adatkezelés a dokumentációban foglaltaknak megfelelően, azokkal összhangban történjen, ideértve az adatkezelési folyamathoz fűződő nyilatkozatok beszerzését, valamint a kapcsolódó dokumentumok megőrzését;

- gondoskodik az adatkezelési folyamat rendszeres időközönként történő felülvizsgálásáról (pl. szükségesség, arányosság, kockázatok, alkalmazott technikai és szervezési intézkedések);

- az adatkezelési folyamat módosítása esetén gondoskodik a módosítás megfelelő bevezetéséről és dokumentálásáról.

Az adatkezelési tevékenység folyamatos alkalmazásával kapcsolatban az IT osztály különösen az alábbiakról köteles gondoskodni, amennyiben az adatkezelés elektronikus információs rendszert érint:

- megfelelő technikai és szervezési intézkedések (ideértve különösen a fizikai és logikai intézkedések) meglétét folyamatosan biztosítani, időszakonként – legalább évente – ellenőrizni;

- az elektronikus információs rendszereket érintő esemény-kezelési eljárásokat biztosítani és működtetni.

Adatkezelési tevékenység megszüntetése

Amennyiben az adatkezelési folyamatra az Adatkezelőnek már nincs szüksége (pl. adatkezelési cél megvalósulásával vagy az Adatkezelő adatkezelési cél eléréséhez való érdeke megszűnik), az Adatkezelő dönt az adatkezelési tevékenység megszüntetéséről. Az Adatkezelő a döntését megfelelően dokumentálja. Az Adatkezelő az alábbi intézkedéseket köteles megtenni a személyes adatok kezelése jogszerűségének biztosítása érdekében:

- a személyes adatokat a megőrzési idő elteltével, vagy az adatkezelési cél megszűnésének időpontjában – amelyik időpont hamarabbi – törli az adatkezelési tevékenység során kezelt személyes adatokat a lenti 11. ponttal összhangban;

- az adatkezelési nyilvántartásban a lenti 10.1. ponttal összhangban jelzi az adatkezelési tevékenység megszüntetését, kivezetését;

- felülvizsgálja és módosítja a vonatkozó adatkezelési tájékoztatókat, egyéb adatkezelési dokumentációt, amennyiben szükséges.

Adatfeldolgozó igénybevétele

Az Adatkezelő az adatfeldolgozói minőségben eljáró üzleti partnereit megfelelő gondossággal választja ki. Az adatfeldolgozó minőségben eljáró üzleti partnerek kiválasztása során különösen az alábbi szempontokat kell figyelembe venni: 

- az adatfeldolgozónak a konkrét adatkezeléshez szükséges megfelelő szakképzettségét;

- a technikai és szervezési biztonsági intézkedéseket;

 -az adatfeldolgozó piaci tapasztalatát (ha releváns);

- egyéb szempontokat, amelyek az adatfeldolgozó megbízhatóságára engednek következtetni (adatvédelmi dokumentációk, együttműködési hajlandóság, reakcióidők stb.).

Az Adatkezelő az adatfeldolgozóval a jelen Szabályzat 10.5. pontjával összhangban adatfeldolgozói szerződést köt. Az adatfeldolgozónak az arra alkalmas technikai és szervezési intézkedések alkalmazásával megfelelő garanciát kell nyújtania arra vonatkozóan, hogy az adatkezelés a GDPR előírásaival összhangban történik és az érintett jogainak védelmét biztosítja. Ezeket a garanciákat az Adatkezelő és az adatfeldolgozó az adatfeldolgozói szerződésben rögzítik.

Az adatfeldolgozókat rendszeresen ellenőrizni kell a szerződésben meghatározott technikai és szervezési intézkedések vonatkozásában.

Adattovábbítás harmadik országba

Személyes adat harmadik országba csak akkor továbbítható, ha az Adatkezelő a GDPR szerinti megfelelő jogalappal rendelkezik az adattovábbításhoz. Ezen túlmenően személyes adatok harmadik országba történő továbbításához az érintettek jogainak és érdekeinek védelme érdekében speciális követelményeknek is teljesülniük kell.

Ezeket a speciális követelmények főszabály szerint teljesítettnek tekintendőek abban az esetben, ha az EU Bizottsága ún. megfelelőségi határozattal megállapította az érintett harmadik ország adatvédelmi szabályainak megfelelő szintjét. Ez jelenleg az alábbi országokra vonatkozik: Andorra, Argentína, Kanada, Feröer szigetek, Guernsy, Izrael, Man-sziget, Jersey, Kanada, Új-Zéland, Koreai Köztársaság, Svájc, Egyesült Királyság, Egyesült Államok (azon kereskedelmi szervezetek vonatkozásában, amelyek az EU-US Adatvédelmi Keretrendszer [angolul: EU-US Data Privacy Framework] tagjai), Uruguay.^[1]

Azon országok esetében, amelyekre nem vonatkozik megfelelőségi határozat, a GDPR V. fejezetében foglalt valamely egyéb adattovábbítási mechanizmus (pl. általános adatvédelmi szerződési feltételek, kötelező erejű vállalati szabályok) alkalmazása szükséges a harmadik országba történő adattovábbítás jogszerűségéhez.

Harmadik országba történő adattovábbítás kivételes esetekben ezen intézkedések nélkül is megengedhető. Például ez vonatkozik többek között az alábbi esetekre:

- az érintett kifejezetten hozzájárulását adta a tervezett továbbításhoz azt követően, hogy tájékoztatták az adattovábbításból eredő esetleges kockázatokról;

- az adattovábbítás az érintett és az adatkezelő közötti szerződés teljesítéséhez, vagy az érintett kérésére hozott, szerződést megelőző intézkedések végrehajtásához szükséges;

- az adattovábbítás az adatkezelő és valamely más természetes vagy jogi személy közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez szükséges;

- az adattovábbítás jogi igények előterjesztése, érvényesítése és védelme miatt szükséges.

Adatvédelmi dokumentáció

Az Adatkezelő az elszámoltathatóság elvével [GDPR 5. cikk (2) bekezdés] összhangban köteles az adatkezelés megtervezésétől a cél megvalósulásáig (vagy az adatkezelési tevékenység megszüntetéséig) valamennyi adatkezelési folyamathoz kapcsolódó lépést megfelelően adminisztrálni és dokumentálni, ezáltal pedig az adatvédelmi követelményeknek való megfelelést igazolni. Ezzel összhangban az Adatkezelő az alábbi intézkedéseket köteles megtenni.

Adatkezelési nyilvántartás

Az adatkezelési nyilvántartás célja, hogy a NAIH hatáskörei gyakorlása során gyors áttekintést kapjon az adatkezelésről. Az Adatkezelő ennek megfelelően legalább a GDPR 30. cikkében foglalt tartalommal adatkezelési nyilvántartást vezet.

Az adatkezelési nyilvántartást rendszeresen – legalább évente – felül kell vizsgálni. A felülvizsgálatot el kell továbbá végezni azokban az esetekben is, amennyiben valamely adatkezelési tevékenység bevezetésre vagy megszüntetésre kerül, illetve módosul. Az adatkezelési nyilvántartás változásait az Adatkezelő köteles jól követhető és igazolható módon végrehajtani. Az Adatkezelő ezt azáltal biztosítja, hogy a kivezetett adatkezelési folyamat hátterét szürkére színezi az adatkezelési nyilvántartásban, valamint egy plusz oszlopban jelöli az adatkezelési folyamat kivezetését a dátum megjelölése mellett. Minden egyéb módosítást szintén plusz oszlopban jelöl a módosítás tárgyának és dátumának megjelölésével.

Adatkezelési tájékoztató

Az Adatkezelő az érintettek tájékoztatása céljából a GDPR 13-14. cikkeivel összhangban, az abban foglalt tartalommal adatkezelési tájékoztatót készít az adatkezelési folyamatairól. Az adatkezelési tájékoztatók kommunikálásának módját az Adatkezelő minden esetben az érintettek alapján, hatékonysági szempontokat is figyelembe véve állapítja meg. Ennek megfelelően az adatkezelési tájékoztatók különösen, de nem kizárólag az alábbi módokon kerülhetnek közlésre az érintettekkel:

Adatkezelő szervezetén belüli érintettek esetén

Amennyiben az adatkezelési tájékoztatót az Adatkezelő szervezetén belüli érintettekkel kell közölni, az Adatkezelő az alábbi módok valamelyikén kommunikálhatja az adatkezelési tájékoztatót (vagy annak módosítását):

• adatkezelési tájékoztató elhelyezése az intraneten vagy közös meghajtón, valamint az adatkezelési tájékoztató elhelyezéséről tájékoztató e-mail küldése a munkatársak számára;
• adatkezelési tájékoztató e-mailben, csatolmányként történő küldése a munkatársak számára;
• adatkezelési tájékoztató faliújságon történő közzététele;
• egyéb, az Adatkezelőnél mint munkáltatónál „általában ismert és helyben szokásos módon” történő közzététel.

Adatkezelő szervezetén kívüli érintettek esetén

Amennyiben az adatkezelési tájékoztatót az Adatkezelő szervezetén kívüli érintettekkel kell közölni, az Adatkezelő az alábbi módok valamelyikén kommunikálhatja az adatkezelési tájékoztatót (vagy annak módosítását):

• honlapon történő közzététel;
• adatkezelési tájékoztató e-mailben, csatolmányként történő küldése a kapcsolatfelvételkor;
• az Adatkezelő érintettel kommunikáló munkatársának aláírásában elhelyezett linkkel (hiperhivatkozás, hyperlink).

Érdekmérlegelési teszt

Amennyiben valamely, Adatkezelő által végzett adatkezelési tevékenység jogalapja a jogos érdek [Adatkezelő vagy harmadik fél jogos érdeke; GDPR 6. cikk (1) bek. f) pont], az Adatkezelő az adatkezelés jogszerűségének biztosítása érdekében ún. érdekmérlegelési tesztet végez.

Érdekmérlegelési teszt célja

Az érdekmérlegelési teszt célja annak vizsgálata, hogy az Adatkezelő vagy harmadik fél jogos érdekei megelőzik-e az érintett személyes adatok védelméhez fűződő jogát. Ezen túlmenően az érdekmérlegelési teszt alátámasztja, hogy az Adatkezelő a jogos érdeket azonosította, valamint az adatkezelés körülményeit olyan módon alakította ki, hogy az adatkezelés nem jelent aránytalan korlátozást az érintett érdekeire, jogaira és szabadságaira nézve, így az adatkezelés a cél eléréséhez szükséges és arányos.

Általános követelmények

Az érdekmérlegelési teszt elkészítésekor az alábbi általános és formai követelményekre kell figyelemmel lenni:

• Az érdekmérlegelési tesztet az adatkezelés megkezdése előtt kell elvégezni.
• Az érdekmérlegelési tesztet írásban kell dokumentálni, dátummal és az Adatkezelő képviseletére jogosult személy aláírásával kell ellátni.
• Amennyiben változnak az adatkezelés körülményei, az érdekmérlegelési tesztet felül kell vizsgálni, illetve módosítani kell. A felülvizsgálat célja annak megállapítása, hogy az adatkezelés továbbra is a cél eléréséhez szükséges és azzal arányos, továbbá az adatkezelés körülményeiben történő változás megfelelő dokumentációja.
• Az érdekmérlegelési tesztet a lenti 10.6. pontnak megfelelően meg kell őrizni.

Érdekmérlegelési teszt elkészítésének lépései

Az Adatkezelő az érdekmérlegelést az alábbi lépések szerint végzi el:

• jogos érdek és adatkezelés cél azonosítása, meghatározása;
• annak vizsgálata, hogy az adatkezelés a jogos érdek eléréséhez feltétlenül szükséges-e;
• az azonosított érdekek mérlegelésének elvégzése, amely magában foglalja (i) az érintett érdekeinek, jogainak és szabadságainak megállapítását, azonosítását, (ii) az adatkezelés érintettkre gyakorolt hatásának értékelését, (iii) az érintettek jogos elvárásainak figyelembevételét, valamint (iv) az ellentétes érdekek végleges mérlegelését, ideértve az esetleges további intézkedések alkalmazása lehetőségének értékelését.

Hatásvizsgálat

Amennyiben egy adott adatkezelés – figyelemmel annak jellegére, hatókörére, körülményére és céljaira – valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az Adatkezelő hatásvizsgálatot készít. Annak vizsgálatakor, hogy az adatkezelés vonatkozásában szükséges-e hatásvizsgálatot készíteni, az Adatkezelő a NAIH hatásvizsgálati listáját is figyelembe veszi, amely a https://www.naih.hu/hatasvizsgalati-lista linken érhető el.

A hatásvizsgálat elkészítésére az Adatkezelő a NAIH honlapján (https://www.naih.hu/hatasvizsgalati-szoftver) elérhető adatvédelmi hatásvizsgálati szoftvert és annak módszertanát alkalmazza.

Amennyiben a hatásvizsgálat megállapítása esetén az Adatkezelő köteles az adatkezelést megelőzően a GDPR 36. cikk szerinti előzetes konzultáció lefolytatására a NAIH-hal. Előzetes konzultáció esetén a NAIH-ot az alábbiakról kell tájékoztatni:

- az Adatkezelő, közös adatkezelők és adatfeldolgozók feladatköreiről,

- a tervezett adatkezelés céljairól és módjairól;

- az érintettek jogainak és szabadságainak védelmében hozott intézkedésekről és garanciákról;

- az adatvédelmi tisztviselő elérhetőségeiről;

- az adatvédelmi hatásvizsgálatról; és

- a NAIH által kért minden egyéb információról.

Adatkezeléssel kapcsolatos megállapodások

Az Adatkezelő üzleti kapcsolataiban minden esetben megvizsgálja és megállapítja a felek adatvédelmi szerepkörét (önálló adatkezelő, adatfeldolgozó, közös adatkezelők). Amennyiben a felek között adatfeldolgozói vagy közös adatkezelői viszony áll fenn, így adatfeldolgozói, illetve közös adatkezelői megállapodás megkötésére van szükség, az Adatkezelő legkésőbb az üzleti partnerrel kötött kereskedelmi szerződés megkötését követően legkésőbb 15 napon belül megköti az adatfeldolgozói, illetve közös adatkezelői megállapodást is.

Adatvédelmi dokumentáció megőrzése

Az Adatkezelő az adatvédelmi dokumentációt az adatkezelési tevékenység megszüntetésétől, illetve a személyes adatok törlésétől – amelyik időpont későbbi – számított 10 évig őrzi meg (ez a gyakorlatban azt jelenti, hogy a törlés időpontja az adatkezelési tevékenység megszüntetése, ill. a személyes adatok törlése évének végétől számított 10 év eltelte). Ez a megőrzési idő nem egyezik meg az egyes adatkezelések során kezelt személyes adatok törlési idejével, amelyet az egyes adatkezelési tájékoztatók tartalmaznak.

Személyes adatok törlése

Törlési kötelezettség

A korlátozott tárolhatóság elvével összhangban az Adatkezelő a személyes adatokat addig tárolhatja, amíg az az adatkezelés céljának eléréshez szükséges. Ennek megfelelően az Adatkezelő köteles a személyes adatokat törölni vagy anonimizálni, amennyiben a személyes adatok kezelése már nem szükséges az adatkezelési célok elérése érdekében. A személyes adatok törlésére az alábbi esetekben kerül sor:

- az Adatkezelő által meghatározott megőrzési idő lejártával;

- érintetti joggyakorlás esetén (pl. törléshez, tiltakozáshoz való jog gyakorlása), amennyiben annak feltételei fennállnak;

- az Adatkezelő által meghatározott megőrzési idő lejárta előtt megszűnik az adatkezelés célja, szükségessége, jogalapja;

- bíróság, hatóság az Adatkezelőt a személyes adatok törlésére kötelezi.

Törlés elvégzésére jogosult személyek

Adat törlését, helyesbítését, zárolását vagy megsemmisítését csak a hozzáférésre jogosult adatgazda vagy az Adatkezelő  ezen feladattal megbízott munkatársa végezheti el, és kizárólag abban az esetben, ha meggyőződött arról, hogy annak jogszabályban vagy belső szabályzatban, tájékoztatóban, utasításban meghatározott feltételei fennállnak.

Törlés módja

Az Adatkezelő minden évben legkésőbb január 31. napjáig megvizsgálja, hogy mely személyes adatok vonatkozásában állnak fenn a törlés feltételei. Ennek keretében az Adatkezelő különösen az alábbi körülményeket vizsgálja:

- megőrzési idő, illetve annak lejárta;

- adatkezelés célja fennáll-e;

 -adatkezelés szükséges-e a cél eléréséhez;

- van-e megfelelő jogalapja az adatkezelésnek.

Az Adatkezelő különösen az alábbi intézkedéseket teszi a személyes adatok törlése iránt:

- a személyes adatokat az informatikai rendszerből törli, illetve anonimizálja, függően attól, hogy a személyes adat az informatikai rendszerben milyen módon található meg és a teljes törlés megvalósítható-e;

- a papír alapon kezelt személyes adatokat meg kell semmisíteni, illetve amennyiben ez nem lehetséges, a papír alapon kezelt személyes adatokat az Adatkezelő anonimizálja.

Amennyiben a törlésre egyedi esetben kerül sor (pl. érintetti joggyakorlás, bírósági, hatósági határozat alapján), az Adatkezelő – amennyiben nem áll fenn ettől eltérő kötelezettsége – a törlés feltételeinek fennállását az arra okot adó körülmény felmerülésétől számított legkésőbb 20 napon belül megvizsgálja. Az adatok törlésének, zárolásának, vagy megsemmisítésének tényét az azt végrehajtó munkatársnak jegyzőkönyvben (ld. 1. sz. melléklet) dokumentálnia kell. Az Adatkezelő a törlésről szóló jegyzőkönyvet rendszerezve, megfelelő adatbiztonsági intézkedéseket alkalmazva megőrzi.

Adatvédelmi oktatás

Az Adatkezelő az adatvédelmi tudatosság növelése érdekében adatvédelmi oktatást tart a munkatársaknak a jelen pontban foglaltak szerint. A munkatárs adatvédelmi oktatáson való részvétele kötelező.

Adatvédelmi oktatás ütemezése

Az Adatkezelő rendszeresen (évente) tart (ismétlő) adatvédelmi oktatást az adatvédelmi ismeretek bővítése, az esetleges változások ismertetése érdekében.

Adatvédelmi oktatás tartalma

Az adatvédelmi oktatások tartalma alkalmanként eltérhet. Az adatvédelmi oktatás tárgya különösen az alábbiak lehetnek:

- alapvető adatvédelmi fogalmak és kötelezettségek;

- Adatkezelő által alkalmazott adatvédelmi szabályok, hatályos adatvédelmi dokumentáció rövid áttekintése;

- munkatársak adatvédelmi kötelezettségei a munkaköri feladatok ellátása során;

- adatvédelmi incidensek felismerése, kezelése és megelőzése;

- adatbiztonsági intézkedések fontossága.

Adatvédelmi incidensek kezelése

Adatvédelmi incidens fogalma és fajtái

Az Adatkezelő által meghatározott technikai és szervezési intézkedések ellenére előfordulhatnak adatvédelmi incidensek, amelyeket az Adatkezelő a GDPR rendelkezéseivel összhangban köteles kezelni.

Az adatvédelmi incidens a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. Ennek megfelelően az adatvédelmi incidensek alábbi fajtáit különböztetjük meg[2]:

- titoksértés: személyes adatok jogosulatlan vagy véletlen közlése vagy az ilyen adatokhoz való jogosulatlan vagy véletlen hozzáférés (pl. helytelen címre küldött e-mail, adatszivárgásos támadások, papíralapú dokumentumok jogosulatlan nyilvánosságra hozatala);

- sértetlenségi adatsértés: személyes adatok jogosulatlan vagy véletlen módosítása;

- hozzáférhetőségi adatsértés: a személyes adatokhoz való hozzáférés véletlen vagy jogosulatlan elvesztése vagy a személyes adatok véletlen vagy jogosulatlan megsemmisítése (pl. adathordozó eszközök elvesztése).

Adatvédelmi incidens észlelése és jelentése

Az adatvédelmi incidens gyanúját az azt észlelő munkatárs haladéktalanul jelenteni az Adatkezelő adatvédelmi incidensek kezelésével megbízott munkatársának. A bejelentésnek legalább az alábbi információkra kell kitérnie:

- incidens tárgya, időpontja, felfedezésének időpontja;

- incidenssel érintett szervezeti egység (részleg / osztály) megnevezése;

- incidenssel érintett rendszerek (ha van ilyen) megnevezése;

- incidenssel érintett személyes adatok jellege és száma;

- érintettek száma és kategóriája (pl. munkavállaló, üzleti partner);

- incidens részletes leírása.

A bejelentést az Adatkezelő adatvédelmi incidensek kezelésével megbízott munkatársának e-mailben és telefonon kell megtenni. Amennyiben az Adatkezelő adatvédelmi incidensek kezelésével megbízott munkatársa további információkat kér az adatvédelmi incidensre vonatkozóan, a bejelentő köteles az információkérésre haladéktalanul, de legkésőbb 10 órán belül válaszolni.

Adatvédelmi incidens értékelése, kivizsgálása

Az Adatkezelő adatvédelmi incidensek kezelésével megbízott munkatársa a bejelentés beérkezését követően haladéktalanul megkezdi az adatvédelmi incidens értékelését, kivizsgálását. Az adatvédelmi incidens kivizsgálása és értékelése érdekében az alábbi lépések megtételére kerül sor:

- Az Adatkezelő adatvédelmi incidensek kezelésével megbízott munkatársa megvizsgálja a bejelentést és amennyiben szükséges, a bejelentőtől további információkat kér az adatvédelmi incidensre vonatkozóan.

- Az Adatkezelő adatvédelmi incidensek kezelésével megbízott munkatársa vizsgálatot indít az adatvédelmi incidens teljeskörű felderítésére, amely vizsgálatba az adatvédelmi incidenssel érintett szervezeti egységeket és tudomással, ismerettel rendelkező munkatársakat is bevonja.

- Az Adatkezelő az adatvédelmi incidens körülményei alapján kockázatértékelést végez, amelyben megállapítja, hogy az adatvédelmi incidens az érintettekre nézve milyen kockázatot jelent. Ennek keretében az Adatkezelő vizsgálja, hogy az adatvédelmi incidens jár-e kockázattal, illetve magas kockázattal jár-e az érintettek jogaira és kötelezettségeire nézve. A kockázatértékelést írásban kell rögzíteni.

- A kockázatértékelés alapján az Adatkezelő az alábbi intézkedéseket teszi:

• Amennyiben az adatvédelmi incidens valószínűsíthetően kockázattal jár az érintett jogaira és kötelezettségeire nézve, az Adatkezelő a tudomásra jutástól számított 72 órán belül bejelenti az adatvédelmi incidenst a NAIH felé a NAIH által a https://naih.hu/adatvedelmi-incidensbejelento-rendszer oldalon meghatározott módok valamelyikén.
• Amennyiben az adatvédelmi incidens valószínűsíthetően magas kockázattal jár az érintett jogaira és kötelezettségeire nézve, az Adatkezelő az adatvédelmi incidens NAIH felé történő bejelentése mellett az érintetteket is tájékoztatja az adatvédelmi incidensről, feltéve, ha a GDPR 34. cikk (3) bekezdésében foglalt feltételek nem állnak fenn és így a tájékoztatás nem mellőzhető.

- Meghatározza és megteszi mindazokat az intézkedéseket, amelyek az adatvédelmi incidens esetleges hátrányos következményeinek enyhítését, valamint a jövőbeni hasonló adatvédelmi incidensek bekövetkezési esélyének csökkentését célozzák.

- Az Adatkezelő az adatvédelmi incidens kezelésének lépéseit megfelelően dokumentálja a lenti 4. pontnak megfelelően.

Adatvédelmi incidenskezelési dokumentáció

Dokumentáció tartalma

Az Adatkezelő az adatvédelmi incidensek kezelése során az alábbi dokumentumokat készíti el:

- adatvédelmi incidens kockázatértékelése;

- adatvédelmi incidens-nyilvántartás (ld. 3. sz. melléklet);

- NAIH részére megküldött incidensbejelentés, valamint az incidensbejelentés NAIH részére történő megküldéséről szóló igazolás (amennyiben az adatvédelmi incidens az érintettekre nézve valószínűsíthetően kockázattal jár, így a NAIH részére az adatvédelmi incidenst be kell jelenteni);

- érintettek tájékoztatása, valamint a tájékoztatás megtörténtének igazolása (amennyiben az adatvédelmi incidens valószínűsíthetően magas kockázattal jár az érintettekre nézve, így az érintettek tájékoztatása a GDPR 34. cikke alapján kötelező és nem mellőzhető). Az érintettnek szóló tájékoztatásnak világosan és közérthetően legalább az alábbi információkat kell tartalmaznia:

• adatvédelmi incidens jellege;
• adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó neve és elérhetőségei;
• adatvédelmi incidensből eredő, valószínűsíthető következményeket;
• az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

A jelen pontban felsorolt dokumentumokat az Adatkezelő a fenti 10.6. ponttal összhangban, a lenti 4.2. pontban foglalt módon megőrzi.

Dokumentáció tárolása

Az Adatkezelő az adatvédelmi incidenskezelési dokumentációt elektronikusan és/vagy papír alapon tárolja.

Elektronikusan tárolt dokumentumok mapparendszere

Amennyiben az Adatkezelő elektronikusan (is) tárolja a dokumentumokat, a tárolás az alábbi mapparendszerben történik.

Az Adatkezelő a mapparendszeren belül az adatkezelési nyilvántartás elnevezése és rendezése során az alábbi példa szerint jár el.

Papíralapú dokumentumok

Amennyiben az Adatkezelő papír alapon (is) tárolja a dokumentumokat, azokat keletkezés szerinti idősorrendben lefűzi és zárható szekrényben tárolja.

Érintetti joggyakorlás

Érintetti jogok

Érintetti jogok gyakorlásának rendje

Érintetti kérelem benyújtása az Adatkezelőhöz az érintett által

Az Adatkezelő az érintett számára az alábbi lehetőségeket biztosítja az érintetti jogok gyakorlására, az érintetti kérelem benyújtására:

- írásban e-mail útján a jelen Szabályzat A. 1. pontjában foglalt e-mail címére megküldve;

- írásban postai úton a jelen Szabályzat A. 1. pontjában foglalt címre megküldve;

- telefonon szóban a jelen Szabályzat A. 1. pontjában foglalt telefonszámon; vagy

- személyesen szóban az Adatkezelő 7130 Tolna, Gém u. 1. szám alatt található fióktelepén.

Érintetti kérelem nyomán tett intézkedések

Az érintetti kérelem elintézése során az Adatkezelő a jelen pontban foglaltak szerint jár el.

Meggyőződés az érintett személyazonosságáról

Az Adatkezelő az érintetti kérelem beérkezésétől számított 8 napon belül meggyőződik az érintett személyazonosságáról. Ennek céljából az Adatkezelő kérheti az érintettől természetes személyazonosító adatainak (családi és utónév, születési család és utónév, születési hely és idő, anyja születési család és utóneve) megadását. Az Adatkezelő a személyazonosságról való meggyőződés céljából okmányt nem kér be.

Az Adatkezelő az érintetti kérelem megválaszolását megtagadhatja, amennyiben az érintettet nem tudja azonosítani. Ilyen esetben az Adatkezelő megfelelően dokumentálja (levelezés, e-mail folyam elmentésével, jegyzőkönyv felvételével), hogy az érintett személyazonosságát nem tudta megállapítani.

Érintetti kérelem megvizsgálása és intézkedések meghozatala

Az Adatkezelő az érintett személyazonosságának megállapítását követően megvizsgálja, hogy van-e helye az érintetti kérelem elintézésének megtagadására (ld. lenti 6.2.4. pontot).

Amennyiben az érintetti kérelem megválaszolásához az Adatkezelőnek további információra van szüksége az érintetti kérelemben foglaltakhoz képest, az Adatkezelő felveszi a kapcsolatot az érintettel és kéri az érintetti kérelem kiegészítését a hiányzó információkkal.

Amennyiben nincs helye megtagadásnak, az Adatkezelő azonosítja, hogy az érintetti kérelemmel érintett adatkezelést melyik szervezeti egység (részleg / osztály) végzi és az érintetti kérelmet ennek a szervezeti egységnek továbbítja. A szervezeti egység megadja a szükséges tájékoztatást ad az Adatkezelő számára az érintetti kérelemmel érintett adatkezelés vonatkozásában.

Az Adatkezelő a szervezeti egység által megadott információk alapján dönt a szükséges intézkedésekről, amelyek végrehajtásában a szervezeti egység, illetve szükség esetén az IT osztály közreműködik.

Érintett tájékoztatása

Az Adatkezelő az érintett számára tömör, átlátható, érthető és könnyen hozzáférhető formában, világos és közérthető tájékoztatást ad. Ha az érintett elektronikusan nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett másként kéri. Az érintett kérésére a tájékoztatás szóban is megadható, feltéve, hogy más módon igazolták az érintett személyazonosságát. A szóban megadott tájékoztatásról az Adatkezelő jegyzőkönyvet vesz fel.

Amennyiben megtagadásnak van helye, az Adatkezelő ennek tényéről és indokairól tájékoztatja az érintettet. A megtagadásról szóló döntést, valamint az azt megalapozó tényeket és körülményeket az Adatkezelő megfelelően dokumentálja.

A tájékoztatást az Adatkezelő indokolatlan késedelem nélkül, de legfeljebb a beérkezéstől számított 1 hónapon belül adja meg az érintett részére. Amennyiben a kérelem összetettsége, illetve (ugyanattól az érintettől érkezett) kérelmek száma indokolja, a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az Adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított 1 hónapon belül tájékoztatja az érintettet.

Az érintett tájékoztatását díjmentesen kell biztosítani. Ez alól kivételt képez az az eset, ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó. Erre tekintettel az Adatkezelő – figyelemmel a kért információ vagy nyújtásával, vagy a kért intézkedés meghozatalával járó adminisztratív költségekre észszerű díjat számíthat fel az érintettnek. Az ismétlődő, illetve túlzó jelleget az Adatkezelőnek kell bizonyítani, ezért az Adatkezelő az ezt megalapozó tényeket és körülményeket megfelelően dokumentálja.

Érintetti kérelem elintézésének megtagadása

Az érintetti kérelem alapján az Adatkezelőt intézkedési kötelezettség terheli. Az Adatkezelő az érintetti kérelem elintézését kizárólag az alábbi esetekben tagadhatja meg:

- az Adatkezelő az érintetti kérelmet benyújtó érintett személyazonosságát nem tudja megállapítani;

- az érintetti kérelem egyértelműen megalapozatlan; vagy

- az érintetti kérelem túlzó, különösen ismétlődő jellege miatt.

Az Adatkezelő nem tagadhatja meg az érintetti kérelem elintézését formai okokra való hivatkozással.

Az érintetti kérelem elintézésének megtagadásáról az Adatkezelő az érintetett a fenti 6.2.3. pontnak megfelelően tájékoztatja.