Adatkezelési tájékoztató

személyes adatok kezeléséről

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló 2016. április 27-ei 2016/679 Európai Parlamenti és Tanácsi (EU) rendelet (alábbiakban: GDPR) 13. és 14. cikkei alapján a TRICCIANA Agrár Zártkörűen Működő Részvénytársaság (székhely: 8657 Ságvár, Ádándi út 50.,cégjegyzékszám: 14-10-300180; továbbiakban: „Adatkezelő”) az érintettek részére a személyes adatok kezelésével kapcsolatban az alábbi tájékoztatást adja.

Az Adatkezelő és az adatvédelmi tisztviselő

Az Adatkezelő adatai

Neve: TRICCIANA Agrár Zártkörűen Működő Részvénytársaság

Székhely: 8657 Ságvár, Ádándi út 50.

Postacím: 8657 Ságvár, Ádándi út 50.

E-mail: tricciana@mail.datanet.hu

Telefon: 06 84 380 030

Fax:

Honlap: www.tricciana.hu

Az adatvédelmi tisztviselő adatai

Neve: Dr. Pongor Tamás

Postacíme: 8601 Siófok, Pf. 249.

Telefon: +36 30 927 1774

E-mail: drpongor@t-online.hu

Az adatkezelés alapjául szolgáló jogszabályok

Az adatkezelésekre az alábbi jogszabályok vonatkoznak:

– GDPR (az alábbi linken keresztül elérhető a jogszabály hatályos szövege: http://eur-lex.europa.eu/legal-content/HU/TXT/HTML/?uri=CELEX:32016R0679&from=EN);

– az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (a továbbiakban: Infotv., az alábbi linken keresztül elérhető a jogszabály hatályos szövege: http://njt.hu/cgi_bin/njt_doc.cgi?docid=139257.338504).

A GDPR értelmében „személyes adat”:

azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

Az adatkezelésre vonatkozó adatok

3.1 A kezelt személyes adatok

kezelésének célja:	az 1. számú mellékletben található
az adatkezelés jogalapja:	az 1. számú mellékletben található
tárolásának időtartama:	az 1. számú mellékletben található
felsorolása illetőleg kategóriái:	az 1. számú mellékletben található
forrása:	az 1. számú mellékletben található

A mellékletben foglaltak szerint az adatok megadása fő szabály szerint az érintett szabad döntésén múlik. Amennyiben a mellékletben foglalt személyes adatok megadása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele, az érintett a fenti esetekben köteles a személyes adatokat megadni, amelynek elmulasztása az alábbi jogkövetkezményekkel járhat:

– adatkérés szolgáltatás igénybevétele céljából: szolgáltatás nyújtásának megtagadása

– adatkérés biztonsági célból: belépés korlátozása, kizárása

– adatkérés szerződéskötés céljából: szerződéskötés elmaradása

3.2 Tájékoztatás az automatizált döntéshozatallal vagy profilalkotással kapcsolatban

Alkalmaz ilyet az Adatkezelő? Nem alkalmaz.

Az alkalmazott logikára vonatkozó információk: nem releváns

Mi a jelentősége és következménye az érintettre nézve: nem releváns

3.3 Ha van Címzett

A „Címzett” fogalma:

az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak.

Címzettek megnevezése: az 1. számú mellékletben található

Közlés célja: az 1. számú mellékletben található

3.4 Kik ismerhetik meg az Ön személyes adatait?

Az érintett személyes adatait fő szabály szerint az Adatkezelő munkavállalói ismerhetik meg feladataik ellátása érdekében. Így például az Adatkezelő iktatással foglalkozó munkatársai az ügykezelés érdekében vagy a HR munkatárs a munkaszerződés elkészítése érdekében megismerik az érintett személyes adatait/ vagy [kitöltendő].

Az Adatkezelő megfelelő információbiztonsági intézkedésekkel gondoskodik arról, hogy az érintett személyes adatait védje többek között a jogosulatlan hozzáférés ellen vagy azok jogosulatlan megváltoztatása ellen. Az Adatkezelő megfelelő szervezési intézkedésekkel gondoskodik arról, hogy a személyes adatok ne válhassanak hozzáférhetővé meghatározatlan számú személy számára.

3.5 Adattovábbítás harmadik országba vagy nemzetközi szervezet részére

Harmadik ország vagy nemzetközi szervezet megnevezése: nem releváns

Az EU Bizottság megfelelőségi határozata, ennek hiányában garanciák megjelölése: nem releváns

Kötelező erejű vállalati szabály: nem releváns

Különös helyzetekre vonatkozó eltérések: nem releváns

3.6 Adatbiztonsági intézkedések

Az Adatkezelő az érintett által megadott személyes adatokat az Adatkezelő székhelyén illetve bejegyzett telephelyén tárolja. Az érintett személyes adatai kezeléséhez az Adatkezelő a Címzetteknél (3.3 pont) megjelölt adatfeldolgozó szolgáltatását veszi igénybe.

Az Ön jogai

4.1 A GDPR 15. cikke alapján az érintett kérelmezheti a rá vonatkozó személyes adatokhoz való hozzáférést az alábbiak szerint:

Az érintett jogosult arra, hogy az Adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

a) az adatkezelés céljai;
b) az érintett személyes adatok kategóriái;
c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;
d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
e) az érintett azon joga, hogy kérelmezheti az Adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;
f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
h) az automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozóan a jogszabály által előírt megfelelő garanciákról.

Az Adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért az Adatkezelő az adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. A másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.

4.2 A GDPR 16. cikke alapján az érintett jogosult az Adatkezelőtől a rá vonatkozó személyes adat helyesbítését kérni az alábbiak szerint:

Az érintett erre vonatkozó kérése esetén az Adatkezelő köteles indokolatlan késedelem nélkül helyesbíteni a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

4.3 A GDPR 17. cikke alapján az érintett jogosult az Adatkezelőtől a rá vonatkozó személyes adat törlését kérni az alábbiak szerint:

Az érintett jogosult arra, hogy az Adatkezelőtől a rá vonatkozó személyes adatok törlését kérje, az Adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;
b) az érintett visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;
c) az érintett tiltakozik a közérdekből, közhatalmi jogosítvány gyakorlása érdekében vagy az adatkezelő (harmadik fél) jogos érdekében történő adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a tiltakozik a közvetlen üzletszerzés érdekében történő adatkezelés ellen;
d) a személyes adatokat jogellenesen kezelték;
e) a személyes adatokat az Adatkezelőre alkalmazandó uniós vagy tagállami jogban (magyar jogban) előírt jogi kötelezettség teljesítéséhez törölni kell;
f) a személyes adatok gyűjtésére az információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

Ha az Adatkezelő nyilvánosságra hozta a személyes adatot, és az fent leírtak értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

Az Érintett törlési jogának korlátozására csak a GDPR-ban írt alábbi kivételek fennállása esetén kerülhet sor, azaz a fenti indokok fennállása esetén a személyes adatok további megőrzése jogszerűnek tekinthető,

a) ha a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása, vagy
b) ha valamely jogi kötelezettségnek való megfelelés (azaz az Adatkezelési Nyilvántartásban jogi kötelezettség jogalappal rögzített tevékenység esetén az adatkezelés céljának megfelelő időtartam alatt), vagy
c) ha közérdekből végzett feladat végrehajtása, vagy
d) ha az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása miatt, vagy
e) ha népegészségügy területén érintő közérdekből,
f) ha közérdekű archiválás céljából, vagy
g) ha tudományos és történelmi kutatás céljából vagy statisztikai célból, vagy
h) ha jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges.

4.4 A GDPR 18. cikke alapján az érintett jogosult az Adatkezelőtől a rá vonatkozó személyes adat kezelésének korlátozását kérni az alábbiak szerint:

Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

a) az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az Adatkezelő ellenőrizze a személyes adatok pontosságát;
b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és e helyett kéri azok felhasználásának korlátozását;
c) az Adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy
d) az érintett tiltakozott a közérdekből, közhatalmi jogosítvány gyakorlása érdekében vagy az adatkezelő (harmadik fél) jogos érdekében történő adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az Adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.

Ha az adatkezelés a fentiek alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

Az Adatkezelő az érintettet, akinek a kérésére a fenti leírtak alapján korlátozták az adatkezelést, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.

4.5 A GDPR 21. cikke alapján az érintett jogosult az Adatkezelőtől a rá vonatkozó személyes adat kezelése ellen tiltakozni az alábbiak szerint:

Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak közérdekből, közhatalmi jogosítvány gyakorlása érdekében vagy az adatkezelő (harmadik fél) jogos érdekében történő kezelése ellen, ideértve az ezen alapuló profilalkotást is. Ebben az esetben az Adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha az Adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők.

A tiltakozáshoz való jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.

Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja.

Ha a személyes adatok kezelésére tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség.

4.6 A GDPR 20. cikke alapján az érintett jogosult a rá vonatkozó személyes adatok hordozhatóságára az alábbiak szerint:

Az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha:

ha az adatkezelés jogalapja az Érintett hozzájárulása, vagy az Érintettel kötött szerződés teljesítése
és az adatkezelés automatizált módon történik.

Az adatok hordozhatóságához való jog gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.

Az adatok hordozhatóságához való jog gyakorlása nem sértheti a törléshez való jogot. Az adathordozás joga nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához szükséges.

Az adatok hordozhatóságához való jog nem érintheti hátrányosan mások jogait és szabadságait.

4.7 A GDPR 7. cikk (3) bekezdése alapján az érintett jogosult a személyes adatainak kezeléséhez adott hozzájárulást bármely időpontban a hozzájárulás visszavonására vonatkozó nyilatkozat kitöltésével vagy amennyiben érintett ennél egyszerűbb módon kívánja visszavonni hozzájárulását akkor annak megfelelő alkalmazásával visszavonni az alábbiak szerint:

Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás visszavonását ugyanolyan egyszerű módon jogosult megtenni, mint annak megadását.

Az érintett jogorvoslati joga bíróság előtt, felügyeleti hatósághoz címzett panasz

Az érintett által tapasztalt jogellenes adatkezelés esetén polgári pert kezdeményezhet az Adatkezelő ellen. A per elbírálása a törvényszék hatáskörébe tartozik. A per – az érintett választása szerint – a lakóhelye szerinti törvényszék előtt is megindítható (a törvényszékek felsorolását és elérhetőségét az alábbi linken keresztül tekintheti meg: http://birosag.hu/torvenyszekek).

Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.

Magyarországon az illetékes felügyeleti hatóság:

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c

postacím: 1530 Budapest, Pf.: 5

e-mail: ugyfelszolgalat@naih.hu

telefon: +36 (1) 391-1400

fax.: +36 (1) 391-1410

honlap: www.naih.hu

TRICCIANA AGRÁR Zártkörűen Működő Részvénytársaság

A TRICCIANA Agrár Zrt. Igazgatósága a 6/2018. (V.24.) számú határozatával a 2018.05.24-i ülésén a szabályzatot elfogadta.

Tartalom

Cél 3
A szabályzat hatálya. 3

2.1. Időbeli hatály. 3

2.2. Személyi hatály. 3

2.3. Tárgyi hatály. 3

Hivatkozások. 4
Meghatározások. 4
A szabályzat tartalma. 5

5.1. Alapelvek. 5

5.2. Az adatkezelés jogszerűsége. 6

5.2.1. Jogalapok. 6

5.2.2. A jogalapokkal kapcsolatos jogszabályi dokumentációs kötelezettség. 6

5.3. Érintettek jogainak védelmére vonatkozó intézkedések. 7

5.3.1. Átlátható tájékoztatáshoz és kommunikációhoz fűződő jog. 7

5.3.2. Az Érintett hozzáférési joga. 9

5.3.3. Helyesbítéshez való jog. 10

5.3.4. Törléshez való jog. 10

5.3.5. Az adatkezelés korlátozásához való jog. 11

5.3.6. Az adathordozhatósághoz való jog. 12

5.3.7. A tiltakozáshoz való jog. 12

5.3.8. Automatizált döntéshozatal, profilalkotás. 13

5.4. Az adatvédelmi tisztviselő (DPO) 14

5.4.1. A DPO kijelölése és feladatai 14

5.5. Nyilvántartásokra vonatkozó jogszabályi dokumentációs kötelezettség. 14

5.5.1. Az adatkezelési tevékenységekre vonatkozó jogszabályi kötelezettségek. 14

5.5.2. Az adatfeldolgozói nyilvántartás vezetése és felülvizsgálata. 15

5.5.3. Nyilvántartás az adatvédelmi incidensekről 15

5.6. Az adatkezelési tevékenységekre irányadó általános szabályok és a speciális belső szabályok viszonya 16

5.6.1. Személyes adatok tárolása, felhasználása és áramlása az Adatkezelő működési körén belül, illetve az adattovábbításra vonatkozó lényeges szempontok. 16

5.6.2. Személyes adatok törlésére vonatkozó lényeges szempontok. 16

5.6.3. Adatbiztonság. 16

5.7. Adatvédelmi incidenskezeléssel kapcsolatos általános szabályok és jogszabályi dokumentációs kötelezettség. 17

5.7.1. Az adatvédelmi incidens nyilvántartása. 17

5.7.2. Az adatvédelmi incidens hatósági bejelentése. 17

5.7.3. Az Érintettek tájékoztatása az adatvédelmi incidensről 17

5.7.4. Az adatvédelmi incidens belső bejelentése, kivizsgálása, közbenső döntések. 18

5.8. Jogorvoslati lehetőségek. 18

Mellékletek. 19

1. Cél

A jelen adatvédelmi szabályzat (a továbbiakban: „Szabályzat”) célja, hogy szabályozza a TRICCIANA Zártkörűen Működő Részvénytársaság (a továbbiakban: „Társaság” vagy „Adatkezelő”) személyes adatkezelési folyamatait, biztosítva az érintettek jogait, eleget téve az alkalmazandó jogszabályok követelményeinek. A Szabályzat meghatározza és kötelezően előírja az érintett jogainak védelme érdekében a Társaságtól megkövetelt technikai és szervezési intézkedéseket.

A Szabályzat célja a GDPR Társaságon belül alkalmazandó követelmények meghatározása, ezért a Szabályzat belső dokumentum, a technikai és szervezési intézkedésekkel kapcsolatos rendelkezések a belső működéssel összefüggő információkat tartalmaznak, az adatvédelmi jogszabályok által megkövetelt részletességű, bárki számára elérhető nyilvános információkat az adatvédelmi és adatkezelési tájékoztató tartalmazza.

2. A szabályzat hatálya

2.1. Időbeli hatály

Jelen Szabályzat a GDPR alkalmazásának első napján (2018. május 25.) lép hatályba és mindaddig hatályban marad, amíg azt a Társaság hatályon kívül nem helyezi, illetve amíg a Társaság jogutód nélkül meg nem szűnik. Jelen szabályzat mellékletei és formanyomtatványai a szabályzat egységes, elválaszthatatlan részét képezik.

2.2. Személyi hatály

A Társaság köteles betartani a szabályzat előírásait, amennyiben azok nem ütköznek a Társaság tevékenységére vonatkozó jogszabályokban foglaltakkal. A Társaság által megkötött szerződések, az általa kialakított belső szabályzatok, eljárásrendek, belső utasítások nem állhatnak ellentétben a szabályzat előírásaival, annak tartalmát, hatályát, hatáskörét nem szűkíthetik, illetve csorbíthatják.

A Társaság a jelen Szabályzat vonatkozásában Adatkezelőnek minősül. A Szabályzat hatálya kiterjed az Adatkezelő nevében adatkezelési tevékenységeket végző személyekre (munkavállalók vagy más munkavégzésre irányuló jogviszonyban álló személyek) az Adatfeldolgozó nevében adatfeldolgozási tevékenységeket végző személyekre (munkavállalók vagy más munkavégzésre irányuló jogviszonyban álló személyek), illetőleg azokra a természetes személyekre, akikkel kapcsolatban az Adatkezelő személyes adatokat kezel vagy feldolgoz (Érintettek).

Az Adatkezelő valamennyi munkavállalója köteles a saját feladatkörében minden ésszerű erőfeszítést megtenni annak érdekében, hogy az Adatkezelővel nem munkaviszonyban álló személyek a jelen szabályzat előírásait magukra nézve kötelezőnek fogadják el, azokat betartsák, illetve szükség esetén betartassák.

2.3. Tárgyi hatály

A jelen szabályzat kiterjed a Társaságnál megvalósuló valamennyi, az adatkezelési célokkal és eszközökkel összefüggésben az adatkezelési tevékenységek során kezelt vagy feldolgozott személyes adatokra. Az adatkezelési tevékenységekre vonatkozó belső szabályokat a jelen Szabályzattal összhangban kell értelmezni, illetve alkalmazni. Ha ellentmondás merül fel a kettő között, akkor a jelen Szabályzat az irányadó.

3. Hivatkozások

természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló 2016. április 27-ei 2016/679 Európai Parlamenti és Tanácsi (EU) rendelet (továbbiakban: „GDPR”);
a Polgári Törvénykönyvről szóló 2013. évi V. törvény („”)
az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény („”)
a munka törvénykönyvéről szóló 2012. évi I. törvény („Mt.”) E szabályzat alkalmazásában jogszabálynak minősül az Európai Unió általános hatályú közvetlenül alkalmazandó jogi aktusa is.

4. Meghatározások

Személyes adat: Azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ. Azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

Adatkezelés: Személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés illetve megsemmisítés.

Adatkezelő: Az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. A Társaság a jelen szabályzat vonatkozásában Adatkezelő.

Adatfeldolgozó: Az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel. – Nem releváns!

Társasági adatkezelési célok: a mellékletben felsorolt adatkezelési célok.

Társasági adatkezelési eszközök: informatikai infrastruktúra.

Társasági adatkezelési tevékenységek: A Társaság által végzett azon adatkezelési tevékenységek, amelyek Társasági eszközökön történnek, különösen a foglalkoztatással, valamint az általános jogszabályok szerinti irányítási és támogató funkciókkal összefüggésben.

Adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. Az adatvédelmi incidens az általános információbiztonsági incidens speciális formája, amely a személyes adatokra vonatkozik.

DPO: Data Protection Officer, a GDPR 37-39. cikke szerinti adatvédelmi tisztviselő. A DPO a nevét és pontos elérhetőségét a melléklet tartalmazza.

Adatkezelési tevékenységért felelős szervezeti egység: Az Adatkezelési Nyilvántartásban rögzített minden egyes adatkezelési cél egy-egy olyan működési folyamat része, amelyet a Társaság valamely szabályzata, folyamatutasítása szabályoz.

Felügyeleti Hatóság: egy tagállam által a GDPR 51. cikkének megfelelően létrehozott független közhatalmi szerv.

NAIH: Nemzeti Adatvédelmi és Információszabadság Hatóság.

Érintett: A jelen Szabályzat alkalmazásában Érintett az a természetes személy, akire vonatkozóan az Adatkezelő személyes adatot kezel.

Tájékoztató: A személyes adatok kezelésére vonatkozóan a GDPR 13. és 14. cikkeiben meghatározott, jelen Szabályzat 5.3. pontjában részletezett, a mellékletben felsorolt formanyomtatványok szerint az Érintettek részére kötelező tartalommal rendelkezésre bocsátandó információk összessége.

Adatkezelési Nyilvántartás: Az Adatkezelő által az Érintettek vonatkozásában végzett összes adatkezelési tevékenység nyilvántartása a GDPR 30. cikkében meghatározott, jelen Szabályzat 5.5.1. pontjában és a mellékletben szereplő formanyomtatványban részletezett tartalommal.

5. A szabályzat tartalma

5.1. Alapelvek

Az Érintettek személyes adataihoz való jogának érvényesítése érdekében Társaság működése során tiszteletben tartja az adatvédelmi jog – hivatkozásokban lefektetett –alapelveit, azaz

a személyes adatokat jogszerűen és tisztességesen, valamint az Érintett számára átlátható módon kezeli;
személyes adatokat csak meghatározott, egyértelmű és jogszerű célhoz kötötten kezel;
csak az adatkezelés célja szempontjából megfelelő és releváns személyes adatokat kezel, a szükséges mértékben, biztosítva az adattakarékosságot;
biztosítja a személyes adatok pontosságát és szükség esetén naprakészségét, minden ésszerű intézkedést megtesz annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék;
a személyes adatokat olyan formában tárolja, amely az Érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé, biztosítva a korlátozott tárolhatóságot;
az integritás és bizalmas jelleg alapelvének megfelelő technikai és szervezési intézkedéseket tesz az adatbiztonság érdekében, azaz a személyes adatok kezelése során védi azokat a jogosulatlan vagy jogellenes kezeléssel szemben, a véletlen elvesztéssel szemben, a megsemmisítéssel vagy károsodással szemben;
a személyes adatok kezelését az elszámoltathatóság alapelvének megfelelően olyan módon végzi, hogy képes legyen a fenti alapelveknek való megfelelés igazolására.

Az egyes adatkezelési tevékenységek a) pont szerinti jogalapjait, b) pont szerint az adatkezelési tevékenység célját, c) pont szerint a kezelt személyes adatok körét, d) pont szerint az adatkezelés időtartamát részletesen az Adatkezelési Nyilvántartás és az annak alapján készített Tájékoztató tartalmazza. Az adattárolással és adattörléssel kapcsolatos fenti e) pont szerinti szervezési és technikai intézkedéseket vagy az azokra való utalást a jelen Szabályzat tartalmazza. Az adat- és információbiztonsággal kapcsolatos fenti f) pont szerinti szervezési és technikai intézkedéseket vagy az azokra való utalást a jelen Szabályzat tartalmazza. Az elszámoltathatóság alapelvének történő megfelelés érdekében a jogszabályi dokumentációs kötelezettségeket a jelen Szabályzat tartalmazza.

5.2. Az adatkezelés jogszerűsége

5.2.1. Jogalapok

Személyes adatot az Adatkezelő kizárólag az alábbi esetekben kezel:

ha az Érintett hozzájárulását adta az adatainak kezeléséhez, vagy
ha az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az Érintett az egyik fél, vagy a szerződés megkötését megelőzően az Érintett kérésére történő lépések megtételéhez szükséges, vagy
ha az adatkezelés az Adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges; vagy
ha az adatkezelés az Érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges; vagy
ha az adatkezelés az Adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az Érintett olyan érdekei, alapvetői jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az Érintett gyermek.

Az egyes adatkezelési tevékenységek jogalapjait az Adatkezelési Nyilvántartás és az annak alapján készített Tájékoztató tartalmazza.

5.2.2. A jogalapokkal kapcsolatos jogszabályi dokumentációs kötelezettség

5.2.2.1. Hozzájárulás

Ha az Adatkezelési Nyilvántartás a hozzájárulást jelöli meg az adatkezelés jogalapjaként, akkor az elszámoltathatóság alapelvére tekintettel az Adatkezelőnek képesnek kell lennie annak igazolására, hogy az Érintett a személyes adatainak kezeléséhez önkéntes, konkrét és megfelelő tájékoztatáson alapuló egyértelmű kinyilvánításával hozzájárult, azaz nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelezte, hogy beleegyezését adta az őt érintő személyes adatok kezeléséhez.

Személyes adatok különleges kategóriáiba tartozó adatokat az Adatkezelő kizárólag az Érintett kifejezett hozzájárulása alapján, illetőleg munkavállaló esetén a foglalkoztatásra, valamint a szociális biztonságra és védelemre vonatkozó jogszabályon vagy kollektív szerződésen alapuló jogi kötelezettségei teljesítése érdekében kezel. A jogi kötelezettség teljesítését kivéve hozzájárulás hiányában az Érintett által az Adatkezelő számára megküldött iratot az Adatkezelő másolat készítése nélkül visszaküldi.

Hozzájárulás jogalap esetén személyes adat csak az Érintett dokumentált – ideértve az elektronikus utat is – nyilatkozatát követően kezelhető.

5.2.2.2. Érdekmérlegelési teszt

Amennyiben az Adatkezelési Nyilvántartás jogos érdeket jelöl meg az adatkezelés jogalapjaként, akkor érdekmérlegelési teszt lefolytatására van szükség. Ennek keretében meg kell határozni, hogy mi alkotja az Adatkezelő vagy a harmadik fél jogszerű érdekét, meg kell vizsgálni, hogy mi alkotja az Érintett olyan érdekeit vagy alapvető jogait és szabadságait, amelyek a személyes adatok védelmét teszik szükségessé. Ezen tényezők alapján előzetes mérlegelést kell végezni, amelynek eredményéhez képest – amennyiben nem egyértelmű – további garanciákat kell társítani az Érintett jogainak védelmében. Az elszámoltathatóság alapelvére tekintettel jogos érdek jogalap esetén személyes adat csak érdekmérlegelés elvégzését és írásbeli dokumentálását követően kezelhető.

5.3. Érintettek jogainak védelmére vonatkozó intézkedések

5.3.1. Átlátható tájékoztatáshoz és kommunikációhoz fűződő jog

Az Adatkezelő az Érintett részére a személyes adatok kezelésére vonatkozó információkat a jelen Szabályzat rendelkezései szerinti Tájékoztatás formájában tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtja. A tájékoztatást írásban – ideértve az elektronikus utat is – kell megadni a GDPR 12. cikke értelmében.

A tájékoztatás jogának gyakorlása a GDPR 14. cikk (5) bekezdése értelmében az alábbi esetekben tagadható meg:

az Érintett már rendelkezik az előírt információkkal
a rendelkezésre bocsátás lehetetlen, aránytalanul nagy erőfeszítést igényel vagy a rendelkezésre bocsátás ténye lehetetlenné tenné vagy veszélyeztetné az adatkezelés céljának elérését (amelyre vonatkozóan az Adatkezelési Nyilvántartásnak külön jelölést kell tartalmaznia, ha van ilyen) és amelynek érdekében az Adatkezelő megfelelő intézkedéseket hozott az Érintett jogos érdekeinek védelme érdekében
kifejezett olyan jogszabályi előírás esetén, amely egyidejűleg az Érintett jogos érdekeinek védelméről is rendelkezik
ha a jogszabályban előírt szakmai titoktartási kötelezettség vagy jogszabályon alapuló titoktartási kötelezettség miatt az adatkezelésnek bizalmasnak kell maradnia (amelyre vonatkozóan az Adatkezelési Nyilvántartásnak külön jelölést kell tartalmaznia, ha van ilyen).

5.3.1.1. Tájékoztatáshoz való joggal kapcsolatos jogszabályi dokumentációs kötelezettség

A Tájékoztató a tájékoztatás időpontjában aktuális Adatkezelési Nyilvántartás alapján készül. A jogszabálynak megfelelő, a GDPR 13. és 14. cikkében előírt kötelező elemeket tartalmazó Tájékoztatók mintáját a jelen Szabályzat részét képező formanyomtatványok tartalmazzák.

A Tájékoztató kiadásának jogszabály szerint megfelelő időpontját adatkezelési tevékenységenkénti bontásban az 1. számú melléklet tartalmazza, amelynek alapján az adatkezelési tevékenységért felelős szervezeti egység köteles a tájékoztatást megtenni. Amennyiben a Felügyeleti Hatóság további formai vagy tartalmi előírásokat határoz meg a Tájékoztatóra vonatkozóan, különösen, ha szabványosított ikonok által megjelenítendő jogi aktusok kerülnek elfogadásra, a formanyomtatványokat a jelen Szabályzat folyamatgazdája annak megfelelően módosítja.

A Tájékoztatót az Érintettel a személyes adatok kezelésének konkrét körülményeit figyelembe véve közli az Adatkezelő adott személyes adatkezelési tevékenységért felelőse.

5.3.1.2. Az Érintetti kérelemmel kapcsolatos előírások

A GDPR 12. cikke szerint az Érintett az 5.3.2-5.3.7. pontban írt jogainak gyakorlása érdekében jogosult bármely formában kérelmet benyújtani az Adatkezelő részére. Az Adatkezelő az Érintett 5.3.2.-5.3.7. pontban említett jogainak gyakorlására irányuló kérelem teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az Érintettet nem áll módjában azonosítani.

A kérelem benyújtását és dokumentált érkeztetését (iktatását) követően az Adatkezelő haladéktalanul köteles megvizsgálni a kérelmet az alábbiak szerint:

az arra jogosult (azonosítható) Érintett nyújtotta-e be a kérelmet,
a kérelem melyik érintetti jog gyakorlására vonatkozik,
a kérelemben foglaltak teljesítésére vonatkozó intézkedés megtételére az Adatkezelő jogszabály szerint kötelezett-e.

Az Adatkezelő köteles elősegíteni az Érintett 5.3.2.-5.3.7. pont szerinti jogainak gyakorlását. Ennél fogva, ha az Adatkezelőnek megalapozott kétségei vannak a kérelmet benyújtó természetes személy kilétével kapcsolatban, azaz amennyiben az Adatkezelő által az Adatkezelési Nyilvántartásban rögzített célok szerint egyébként kezelt személyes adatok és az Érintett által a kérelemben sajátjaként megjelölt személyes adatok az azonosítást nem teszik lehetővé, és az Adatkezelő bizonyítani tudja, hogy nincs abban a helyzetben, hogy azonosítsa az Érintettet, további, az Érintett személyazonosságának megerősítéséhez szükséges információk benyújtását kérheti.

Ilyen esetben az Adatkezelő az Érintett azonosításához szükséges és az Érintett által a jogainak gyakorlása érdekében önkéntesen megadott további kiegészítő információkat a GDPR 11. cikke értelmében az azonosítást követően nem köteles sem rögzíteni, sem megőrizni, sem egyéb módon kezelni. Ha viszont az azonosítás vagy panaszkezelés folyamatában mégis szükségessé válik ezen kiegészítő információk rögzítése, akkor annak kezelésével kapcsolatban, a válaszlevélben az Érintettet tájékoztatni szükséges azzal, hogy az ilyen kiegészítő személyes adatok és információk más célra nem használhatók.

A kérelem vizsgálatát követően az Adatkezelő díjmentesen és indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül visszajelzést ad az Érintett számára az alábbiakról:

intézkedés megtételéről vagy
az intézkedés elmaradásáról
az intézkedés elmaradásának (ideértve a határidő meghosszabbítást is) jogszabály szerinti okairól,
arról, hogy az Érintett panaszt nyújthat be a NAIH-nál és élhet bírósági jogorvoslati jogával,
ha további kiegészítő információ megadása vált szükségessé a kérelemmel összefüggő azonosítás céljából és az Adatkezelő bármely oknál fogva kezeli az Érintett ilyen kiegészítő személyes adatait, akkor az erre vonatkozó tájékoztatásról.

Szükség esetén az egy hónapos határidő további két hónappal meghosszabbítható, figyelembe véve a kérelem összetettségét és a kérelmek számát.

Szükség esetén a visszajelzéssel egyidejűleg kell értesíteni a címzetteket is.

A kérelem alapján történő intézkedés kizárólag akkor tagadható meg, vagy kizárólag akkor számítható fel ésszerű összegű díj a kért információra illetve az intézkedés meghozatalával járó adminisztratív költségekre is figyelemmel, ha az Adatkezelő bizonyítani tudja, hogy a kérelem egyértelműen megalapozatlan vagy (különösen ismétlődő jellege miatt) túlzó.

5.3.2. Az Érintett hozzáférési joga

A GDPR 15. cikke alapján az Érintett kérelmezheti a rá vonatkozó személyes adatokhoz való hozzáférést. Az Érintett jogosult arra, hogy kérelmére az Adatkezelő társaságtól visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, akkor jogosult arra, hogy hozzáférést kapjon a személyes adatokhoz és a következő (a Tájékoztatóban egyébként kötelezően rögzítendő) információkhoz:

a) az adatkezelés céljai;
b) a személyes adatok kategóriái;
c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;
d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
e) információ az Érintett azon jogáról, hogy kérelmezheti a Társaságtól a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;
f) információ a Felügyeleti Hatósághoz címzett panasz benyújtásának jogáról;
g) ha az adatokat nem az Érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
h) az automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint az alkalmazott logikára illetve az ilyen adatkezelés jelentőségére és az Érintettre nézve várható következményeire vonatkozó információk.

Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az Érintett jogosult továbbá arra is, hogy tájékoztatást kapjon a továbbításra vonatkozóan a jogszabály által előírt (GDPR 46. cikk) megfelelő garanciákról.

Az Érintett jogosult arra, hogy a személyes adatok másolatát kérje az Adatkezelőtől. Az Érintett által kért további másolatokért az Adatkezelő az adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel. Ha az Érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az Érintett másként kéri.

A másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait. A személyes adat másolata a foglalkoztatási jogviszonyokra illetőleg az ügyfélkapcsolattal összefüggő jogviszonyokra vonatkozóan az azt tartalmazó (törzs) nyilvántartásban tárolt személyes adatok másolatát jelenti, nem pedig a személyes adat (Adatkezelési Nyilvántartásban és Tájékoztatóban meghatározott célból történő) felhasználásával készült irat vagy bármely – akár elektronikus – dokumentum másolatát.

5.3.3. Helyesbítéshez való jog

A GDPR 16. cikke alapján az Érintett erre vonatkozó kérelme esetén az Adatkezelő köteles indokolatlan késedelem nélkül helyesbíteni a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az Érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

Az Adatkezelő minden olyan címzettet tájékoztat helyesbítésről (a személyes adatokra mutató linkek vagy az adott személyes adatok másolatának, másodpéldányának helyesbítése érdekében) akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az Érintettet kérésére az Adatkezelő tájékoztatja e címzettekről.

5.3.4. Törléshez való jog

A GDPR 17. cikke alapján az Érintett jogosult arra, hogy az Adatkezelőtől a rá vonatkozó személyes adatok törlését kérje, az Adatkezelő pedig köteles arra, hogy az Érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;
ha az Érintett (akár a kérelemmel egyidejűleg akár attól független formában) visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;
ha az Érintett tiltakozik a közérdekből, közhatalmi jogosítvány gyakorlása érdekében vagy a jogos érdekből történő adatkezelés ellen (amelyeket az Adatkezelési Nyilvántartásban ilyenként rögzíteni kell, ha felmerül), és nincs elsőbbséget élvező jogszerű ok az adatkezelésre,
ha az Érintett tiltakozik a közvetlen üzletszerzés érdekében történő adatkezelés ellen (az Adatkezelési Nyilvántartásban direkt marketing célként megjelölt tevékenység esetén);
ha a személyes adatokat jogellenesen kezelték;
ha a személyes adatokat az Adatkezelőre alkalmazandó uniós vagy hazai jogban előírt jogi kötelezettség teljesítéséhez törölni kell;
ha a személyes adatok gyűjtésére gyermekek számára nyújtott információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

Az Adatkezelő minden olyan címzettet tájékoztat a törlésről (a személyes adatokra mutató linkek segítségével) e személyes adatok másolatának, másodpéldányának törlése érdekében, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az Érintettet kérésére az Adatkezelő tájékoztatja őt ezen címzettekről.

ha a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása, vagy
ha valamely jogi kötelezettségnek való megfelelés (azaz az Adatkezelési Nyilvántartásban jogi kötelezettség jogalappal rögzített tevékenység esetén az adatkezelés céljának megfelelő időtartam alatt), vagy
ha közérdekből végzett feladat végrehajtása, vagy
ha az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása miatt, vagy
ha népegészségügy területét érintő közérdekből,
ha közérdekű archiválás céljából, vagy
ha tudományos és történelmi kutatás céljából vagy statisztikai célból, vagy
ha jogi igények előterjesztéséhez, érvényesítéséhez illetve védelméhez

szükséges.

5.3.5. Az adatkezelés korlátozásához való jog

A korlátozás általában egy átmeneti intézkedés egy érintetti igény elbírálásáig vagy egy intézkedés megtételéig. A GDPR 18. cikke alapján az Érintett kérelmére az Adatkezelő korlátozza az adatkezelést, ha

a) az Érintett vitatja a személyes adatok pontosságát, amely esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az Adatkezelő ellenőrizze a személyes adatok pontosságát;
b) az adatkezelés jogellenes, és az Érintett ellenzi az adatok törlését, és e helyett kéri azok felhasználásának korlátozását;
c) az Adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az Érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez;
d) az Érintett jogos érdek vagy közérdek jogalap alapján (az Adatkezelési Nyilvántartásban rögzített két jogalap szerinti tevékenységre vonatkozóan) végzett adatkezelés ellen tiltakozott; amely esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az Adatkezelő jogos indokai elsőbbséget élveznek-e az Érintett jogos indokaival szemben.

Ha az adatkezelés a fentiek alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az alábbi esetekben lehet kezelni:

az Érintett hozzájárulásával, vagy
jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy
más természetes vagy jogi személy jogainak védelme érdekében, vagy
az Unió, illetve valamely tagállam fontos közérdekéből.

Az Adatkezelő köteles a korlátozás feloldásáról a feloldást megelőzően tájékoztatni az Érintettet, akinek kérése alapján az adatkezelés korlátozásra került.

Az Adatkezelő minden olyan címzettet tájékoztat a korlátozásról (a személyes adatokra mutató linkek vagy az adott személyes adatok másolatával, másodpéldányával kapcsolatos adatkezelés korlátozása érdekében) akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az Érintettet kérésére az Adatkezelő tájékoztatja ezen címzettekről.

5.3.6. Az adathordozhatósághoz való jog

A GDPR 20. cikke alapján az Érintett jogosult arra, hogy a rá vonatkozó, általa az Adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta,

ha az adatkezelés jogalapja az Érintett hozzájárulása, vagy az Érintettel kötött szerződés teljesítése (az Adatkezelési Nyilvántartásban ezen két jogalap szerint rögzített tevékenységre vonatkozóan)
és az adatkezelés automatizált módon történik.

Az adatok hordozhatóságához való jog gyakorlása során az Érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.

Az adathordozhatóság jogának gyakorlása nem sértheti a törléshez való jogot. Az adathordozás joga nem alkalmazandó abban az esetben, ha az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítványai gyakorlásának keretében végzett feladat végrehajtásához (az Adatkezelési Nyilvántartásban ezen jogalap szerint rögzített tevékenységre vonatkozóan) szükséges.

Az adatok hordozhatóságához való jog nem érintheti hátrányosan mások jogait és szabadságait. A személyes adat hordozhatóságára vonatkozó jog a foglalkoztatási jogviszonyokra illetőleg az ügyfélkapcsolattal összefüggő jogviszonyokra vonatkozóan a (törzs) nyilvántartásban tárolt személyes adatok hordozhatóságát (másolatát) jelenti, nem pedig a személyes adat (Adatkezelési Nyilvántartásban és Tájékoztatóban meghatározott célból történő) felhasználásával készült irat vagy bármely – akár elektronikus – dokumentum hordozhatóságát (másolatát).

Az adatok hordozhatóságához való jog gyakorlása során a jelen Szabályzat hatálya alá tartozó Adatfeldolgozó köteles együttműködni az Adatkezelővel, különösen az automatizált módon tárolt adatokra vonatkozó adathordozhatóság informatikai/technikai megvalósításában.

5.3.7. A tiltakozáshoz való jog

5.3.7.1. A tiltakozáshoz való jog gyakorlása és a törlés

A GDPR 21. cikke alapján az Érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak közérdekből, közhatalmi jogosítvány gyakorlása érdekében vagy az adatkezelő (harmadik fél) jogos érdekében történő kezelése ellen (amelyeket az Adatkezelési Nyilvántartásban ilyenként rögzíteni kell, ha felmerül), ideértve az ezen alapuló profilalkotást is. Ebben az esetben az Adatkezelő a személyes adatokat nem kezelheti tovább, azaz törölni köteles, kivéve, ha az Adatkezelő bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az Érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik (az Adatkezelési Nyilvántartásban direkt marketing célként megjelölt tevékenység esetén), az Érintett jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. Ha az Érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők, azaz törlendők.

A tiltakozáshoz való jogra legkésőbb az Érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni a Tájékoztató mintájával összhangban.

Az információs társadalommal összefüggő szolgáltatások igénybevételéhez kapcsolódóan és a 2002/58/EK irányelvtől eltérve az Érintett a tiltakozáshoz való jogot műszaki előírásokon alapuló automatizált eszközökkel is gyakorolhatja.

Ha a személyes adatok kezelésére tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, az Érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból tiltakozhasson a rá vonatkozó személyes adatok kezelése ellen, kivéve, ha az adatkezelésre közérdekű okból végzett feladat végrehajtása érdekében van szükség.

5.3.7.2. Hozzájárulás visszavonása

A GDPR 7. cikk (3) bekezdése alapján az Érintett jogosult arra, hogy személyes adatainak kezeléséhez adott hozzájárulását bármely időpontban visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás visszavonását az Érintett ugyanolyan egyszerű módon jogosult megtenni, mint annak megadását, melynek elősegítése érdekében Társaság a „Hozzájárulás visszavonása személyes adatok kezelésének tárgyában” című formanyomtatványt rendszeresíti, mely jelen Szabályzat 5. számú melléklete

5.3.8. Automatizált döntéshozatal, profilalkotás

Az Adatkezelő csak akkor alkalmaz kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntést, amely az Érintettre nézve joghatással jár vagy őt hasonlóképpen jelentős mértékben érinti, ha az Adatkezelési Nyilvántartásban rögzített alábbi három jogalap szerinti tevékenységre vonatkozik:

az Adatkezelő és az Érintett közötti szerződés megkötése vagy teljesítése érdekében szükséges;
meghozatalát az Adatkezelőre alkalmazandó olyan uniós vagy hazai jogszabály teszi lehetővé, amely az Érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít,
az Érintett kifejezett hozzájárulásán alapul.

Az automatizált döntés és profilalkotás további követelményeire GDPR alkalmazandó.

5.4. Az adatvédelmi tisztviselő (DPO)

5.4.1. A DPO kijelölése és feladatai

A Társaság a Társasági adatkezelési célokkal és eszközökkel összefüggésben adatvédelmi tisztviselőt jelöl ki (DPO).

A DPO feladatai:

tájékoztatást és szakmai tanácsot ad a Társaság alkalmazottai részére a GDPR valamint egyéb uniós vagy hazai adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban;
ellenőrzi a GDPR-nak, továbbá egyéb uniós vagy hazai rendelkezéseknek való megfelelést, a jelen Szabályzatnak történő megfelelést, ennek keretében felelős a jelen Szabályzat és a Szabályzat részét képező formanyomtatványok és mellékletek elkészítéséért és naprakészen tartásáért, különös tekintettel felelős az Adatkezelési Nyilvántartás elkészítéséért és naprakészen tartásáért az 5.5 pont figyelembe vételével;
szakmai tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, nyomon követi az elvégzését.

5.5. Nyilvántartásokra vonatkozó jogszabályi dokumentációs kötelezettség

Az alábbi nyilvántartások lehetővé teszik, hogy a Felügyeleti Hatóság ellenőrizni tudja a társaság adatkezelési tevékenységét érintő jogszabályi megfelelést. Az Adatkezelő vagy az Adatfeldolgozó megkeresés alapján a Felügyeleti Hatóság részére rendelkezésre bocsátja a nyilvántartást.

A Társaság Nyilvántartásait az Adatkezelő vezeti.

5.5.1. Az adatkezelési tevékenységekre vonatkozó jogszabályi kötelezettségek

5.5.1.1. Adatkezelési Nyilvántartás vezetése és felülvizsgálata

Az Adatkezelő az általa végzett adatkezelési tevékenységekről nyilvántartást vezet a GDPR 30. cikk (1) bekezdése alapján, amelynek mintáját az 1. számú melléklet tartalmazza.

Az Adatkezelési Nyilvántartás tartalmát naprakészen kell tartani és rendszeresen – legalább évente – felül kell vizsgálni. Ennek keretében rögzíteni kell az új adatkezelési tevékenységeket, különösen új adatkezelési cél vagy új érintetti kör esetén (lásd még 5.5.1.3. pont). Törölni kell a már nem végzett adatkezelési tevékenységeket. Meglévő adatkezelési tevékenység módosulása esetén rögzíteni kell, ha megváltozott az adatkezelési tevékenységért felelős szervezeti egység, az adat tárolásának a helye, az igénybe vett adatfeldolgozó, a címzettek köre, a személyes adatok köre. Az 5.3.1. pont szerinti Tájékoztatók az aktuális Adatkezelési Nyilvántartás alapján készülnek. Az Adatkezelési Nyilvántartás frissítésével egyidejűleg frissíteni szükséges a vonatkozó Tájékoztatókat is, amelyek alapján szükség szerint ismételten tájékoztatni kell az Érintetteket.

Az adatkezelési tevékenységért felelős a beépített és alapértelmezett adatvédelem elvét figyelembe véve köteles a személyes adatokkal bármely módon összefüggő tervezett tevékenységeket az Adatkezelési Nyilvántartásban rögzítendő alábbi adatok megadásával (az adatkezelés célja, az érintetti kör, az adatkezelésért felelős szervezeti egység, az adat tárolásának helye, az igénybe vett adatfeldolgozó, címzettek köre, személyes adatok köre) a tevékenység megkezdését megelőzően bejelenteni a DPO-nak, különösen jogszabályváltozás, új belső folyamatok, fejlesztések vagy szolgáltatások esetén, figyelembe véve az 5.5.1.3. pont rendelkezéseit is. Az adatkezelés jogalapját és a szükséges szervezési és technikai intézkedéseket a DPO az adatkezelési tevékenységért felelőssel közösen határozza meg.

5.5.1.2. Adatkezelési Nyilvántartás szerinti törlési kötelezettség

Az Adatkezelő az Adatkezelési Nyilvántartásban rögzített, a személyes adatok kezelésére vonatkozó jogszerű időtartam elteltét követően a személyes adatot törölni köteles.

Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelési tevékenység végzéséért felelős szervezeti egység rendszeresen felülvizsgálja az általa kezelt személyes adatokat az alábbiak szerint:

naponta, amennyiben az Adatkezelési Nyilvántartás a vonatkozó adatkezelési cél tekintetében napokban meghatározott időtartamot rögzít;
havonta, amennyiben az Adatkezelési Nyilvántartás a vonatkozó adatkezelési cél tekintetében hónapokban meghatározott időtartamot rögzít;
negyedévente, amennyiben az Adatkezelési Nyilvántartás a vonatkozó adatkezelési cél tekintetében a munkaviszony vagy egyéb jogviszony végét rögzíti;
negyedévente, amennyiben az Adatkezelési Nyilvántartás a vonatkozó adatkezelési cél tekintetében az elévülési idővel összefüggő időtartamot rögzít;
a tárgyév végét megelőző negyedéves felülvizsgálat során, amennyiben az Adatkezelési Nyilvántartás a vonatkozó adatkezelési cél tekintetében a tárgyév végét rögzíti.

A felülvizsgálat során az adatkezelési tevékenységért felelős a DPO, valamint szükség szerint az adatfeldolgozó bevonásával szükség szerint törlési bizottságot hoz létre az intézkedések meghatározása érdekében. A törlési intézkedések határidőben történő megtételét anonimizált módon dokumentálni szükséges.

5.5.1.3. Adatvédelmi hatásvizsgálat

Az Adatkezelőnek az adatkezelést megelőzően hatásvizsgálatot kell végeznie a GDPR 35. cikkének megfelelően, a Felügyeleti Hatóság erre vonatkozó jegyzékének figyelembe vételével, ha az adatkezelés valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve. A hatásvizsgálat előtt a DPO szakmai tanácsát ki kell kérni.

5.5.2. Az adatfeldolgozói nyilvántartás vezetése és felülvizsgálata

Az Adatfeldolgozó nyilvántartást vezet az adatkezelő nevében végzett adatkezelési tevékenységekről a GDPR 30. cikk (2) bekezdése alapján. Az adatfeldolgozási nyilvántartást az alapjául szolgáló adatfeldolgozási megállapodások módosulása, megszűnése vagy új adatfeldolgozási megállapodás megkötésével egyidejűleg folyamatosan kell frissíteni az 5.7. pontban írtak szerint.

5.5.3. Nyilvántartás az adatvédelmi incidensekről

A Társaság (DPO) Nyilvántartást vezet az adatkezelési tevékenységekkel összefüggő adatvédelmi incidensekről a GDPR 33. cikk (5) bekezdés alapján, az 5.8. pontban írtaknak megfelelően, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket.

Az adatvédelmi incidens nyilvántartást folyamatosan naprakészen kell tartani. A nyilvántartás a hatósági bejelentési kötelezettség alá tartozó és a hatósági bejelentési kötelezettség alá nem tartozó adatvédelmi incidenseket is tartalmazza. Amennyiben a Felügyeleti Hatóság kötelező tartalmi elemeket határoz meg az adatvédelmi incidenskezelési nyilvántartással kapcsolatban, abban az esetben ezzel a tartalommal ki kell egészíteni a nyilvántartást.

5.6. Az adatkezelési tevékenységekre irányadó általános szabályok és a speciális belső szabályok viszonya

5.6.1. Személyes adatok tárolása, felhasználása és áramlása az Adatkezelő működési körén belül, illetve az adattovábbításra vonatkozó lényeges szempontok

Az Adatkezelő a GDPR jelen Szabályzat 5.1. pontjában írt alapelveinek megfelelően tárolja, használja fel, továbbítja, és egyéb módon kezeli a személyes adatokat.

A szervezési és technikai intézkedéseket az Adatkezelési Nyilvántartás összegzi. A személyes adatok (alap adatbázis) papíralapú tárolása fizikailag az adatkezelési tevékenységért felelős szervezeti egység által meghatározott és az Adatkezelési Nyilvántartásban rögzített helyen történik.

Az Adatkezelő működési körén belül az informatikai adatbázisban tárolt személyes adatok elektronikus másolatainak létrehozásával kapcsolatos biztonsági előírásokat valamint az adattovábbításra vonatkozó biztonsági előírásokat az alkalmazott informatikai rendszerek dokumentációi tartalmazzák.

5.6.2. Személyes adatok törlésére vonatkozó lényeges szempontok

Az Adatkezelő

az 5.5.1.2. pontban írtak szerint az Adatkezelési Nyilvántartásban az egyes adatkezelési tevékenységek vonatkozásában az adatkezelés célja tekintetében meghatározott időtartam elteltét vagy
az 5.3.1.2. pontban írtak szerint az Érintett törlésre irányuló kérelmének (törlési jog gyakorlása vagy tiltakozási jog gyakorlása) teljesítéséről szóló döntést követően

törölni köteles a személyes adatot az alap adatbázisból papír alapon és elektronikus tárolási helyén is. A törlési kötelezettség vonatkozik a személyes adatok másolataira is, kivéve, ha azok az iratkezelési rend hatálya alá tartozó iraton jelennek meg, amely esetben az irat tárgyára vonatkozóan meghatározott megőrzési és selejtezési idő az irányadó.

Az 5.5.1.2. pont szerinti rendszeres felülvizsgálat körében, valamint az 5.3.1.2. pont szerinti kérelemre adott válaszlevél megküldését megelőzően, az adatkezelési tevékenységért felelős szervezeti egység áttekinti az általa kezelt személyes adatokat, meghatározza a törlendő tételeket és intézkedik a törlés iránt.

Informatikai rendszerekből történő törlésekkel kapcsolatban az informatikai rendszerekre vonatkozó külön szabályozásokban szükséges rögzíteni az előírásokat.

5.6.3. Adatbiztonság

A GDPR 32. cikke értelmében az Adatkezelő és az Adatfeldolgozó a tudomány és technológia állására, a megvalósítás költségeire figyelemmel, valamint az adatkezelési tevékenységei természetes személyek jogaira és szabadságaira jelenlett kockázatait figyelembe véve megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő, azzal arányos védelmi intézkedések útján a legmagasabb szintű adatbiztonságot garantálja. Az Adatkezelő és az Adatfeldolgozó egyúttal biztosítja, hogy a személyes adatokhoz hozzáféréssel rendelkező alkalmazottai és közreműködői kizárólag a jogszabályoknak megfelelően kezelik a személyes adatokat kivéve, ha ettől való eltérésre uniós vagy tagállami jog kötelezi őket.

5.7. Adatvédelmi incidenskezeléssel kapcsolatos általános szabályok és jogszabályi dokumentációs kötelezettség

5.7.1. Az adatvédelmi incidens nyilvántartása

Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyeknek, többek között

személyes adataik feletti rendelkezés elvesztését,
jogaik korlátozását,
hátrányos megkülönböztetést,
személyazonosság-lopást,
vagy személyazonossággal való visszaélést,
pénzügyi veszteséget,
az álnevesítés engedély nélkül történő feloldását,
a jó hírnév sérelmét,
a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését,
vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrányt.

Az adatvédelmi incidensek nyilvántartására az 5.5.3. pont rendelkezései vonatkoznak.

5.7.2. Az adatvédelmi incidens hatósági bejelentése

A GDPR 33. cikke alapján az adatvédelmi incidenst az Adatkezelő a tudomására jutását követően indokolatlan késedelem nélkül, ha lehetséges, legkésőbb 72 (hetvenkettő) órával bejelenti a NAIH részére. A bejelentést, amennyiben ilyen létezik, a NAIH által megadott formában és módon kell megtenni, a NAIH előírásai szerint (például a NAIH által megjelölt felületen vagy hot-line vonalon). Amennyiben a NAIH nem hoz létre ilyen felületet, a bejelentést a kötelező tartalmi elemeivel kell megtenni. Az átmeneti időszakra (NAIH által közzétett kötelező minta bevezetéséig) vonatkozó bejelentés mintáját a 7. számú melléklet tartalmazza. A bejelentéssel egyidejűleg az 5.8.3 pont rendelkezéseinek megfelelő tájékoztatási kötelezettséget is teljesíteni kell.

Ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve, az elszámoltathatóság elvével összhangban hatósági bejelentést nem kell megtenni.

5.7.3. Az Érintettek tájékoztatása az adatvédelmi incidensről

Az Adatkezelő indokolatlan késedelem nélkül tájékoztatja az Érintette(ke)t az adatvédelmi incidensről, ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve.

Ezt a döntést az eset összes körülményeire tekintettel kell meghozni, amelyről feljegyzés készül.

Nem kell értesíteni az Érintettet az alábbi esetekben:

ha az Adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazta, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat; vagy
ha az Adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az Érintett jogaira és szabadságaira jelentett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg; vagy
ha a tájékoztatás aránytalan erőfeszítést tenne szükségessé, amely esetben az Érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az Érintettek hasonlóan hatékony tájékoztatását.

5.7.4. Az adatvédelmi incidens belső bejelentése, kivizsgálása, közbenső döntések

Az Adatkezelő bármely munkavállalója a jelen Szabályzat 5.4.2. pontjai értelmében a személyes adatkezeléssel összefüggésben tudomására jutott, intézkedést igénylő rendkívüli eseményre vonatkozó információt haladéktalanul továbbítja az adatkezelő/adatfeldolgozó részére.

Minden esetben meg kell határozni az adatvédelmi incidens elhárítására tett intézkedéseket a jogszabályi kötelezettségeknek megfelelő adatkezelési eszközök fenntartása érdekében.

A döntést követően az adatvédelmi incidens észlelésétől számított lehetőleg legkésőbb 72 (hetvenkettő) órán belül meg kell tenni a szükséges adminisztratív intézkedéseket (bejelentés, tájékoztatás), és rögzíteni kell az adatvédelmi incidens adatait a nyilvántartásban. Ha nem lehetséges a bejelentés mintában meghatározott információkat egyidejűleg közölni, akkor további indokolatlan késedelem nélkül később részletekben is közölhetők. Ha a bejelentés kötelező és nem történik meg 72 (hetvenkettő) órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.

5.8. Jogorvoslati lehetőségek

Az Érintett az általa tapasztalt jogellenes adatkezelés esetén polgári pert kezdeményezhet az Adatkezelő ellen. A per elbírálása a törvényszék hatáskörébe tartozik. A per – az Érintett választása szerint – a lakóhelye szerinti törvényszék előtt is megindítható (a törvényszékek felsorolását és elérhetőségét az alábbi linken keresztül tekintheti meg: http://birosag.hu/torvenyszekek).

Bármely Érintett az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül jogosult arra, hogy panaszt tegyen a Felügyeleti Hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha a megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti a GDPR-t.

A Magyarországon illetékes Felügyeleti Hatóság megnevezése és elérhetősége a Tájékoztatóban található.

6. Mellékletek

számú melléklet Adatkezelési tevékenységek nyilvántartása
számú melléklet Adatkezelési tájékoztató minta „általános”
számú melléklet Adatkezelési tájékoztató személyes adatok eseti kezeléséről
számú melléklet Adatkezelési hozzájárulás személyes adatok kezeléséhez
számú melléklet Adatkezelési hozzájárulás visszavonása személyes adatok kezeléséről
számú melléklet Adatvédelmi incidensek nyilvántartása
számú melléklet Adatvédelmi incidens, hatóság fele történő bejelentése
számú melléklet Tájékoztató érintett részére adatvédelmi incidensről
számú melléklet Válaszlevél személyes adatkezeléssel érintett kérelmére
számú melléklet Értesítés személyes adatkezeléssel érintett kérelméről
számú melléklet Tájékoztató a földhaszonbérleti szerződés megkötésével kapcsolatos

személyes adatok kezeléséről