Az
EGER VÁROSI TURISZTIKAI NONPROFIT KFT.
Adatvédelmi és adatkezelési szabályzata
A visiteger.hu weboldal és a Visit Eger mobil applikáció
I. ÁLTALÁNOS RENDELKEZÉSEK
A szabályzat célja
A szabályzat (továbbiakban: Szabályzat) célja annak biztosítása, hogy az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. személyes adatkezelése megfeleljen a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27-i 2016/679 európai parlament és tanács (általános adatvédelmi rendelet) (továbbiakban: GDPR), valamint a kapcsolódó hazai rendelkezéseknek, különösen az információs önrendelkezési jogról és az információszabadságról EGER VÁROSI TURISZTIKAI NONPROFIT KFT. fontosnak tartja munkavállalói, ügyfelei, partnerei és minden egyéb érintett természetes személy adatkezeléshez kapcsolódó jogának tiszteletben tartását és érvényre juttatását, a személyes adatok védelmét. Társaságunk a személyes adatokat bizalmasan kezeli, és megtesz minden olyan biztonsági, technikai és szervezési intézkedést, mely az adatok biztonságát garantálja. Mindezek érvényesülése érdekében az alábbi Szabályzatot alkotja.
A szabályzat hatálya
tárgyi hatály: Jelen Szabályzat hatálya kiterjed az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. valamennyi személyes adatot tartalmazó adatkezelésére függetlenül attól, hogy az elektronikusan és/vagy papíralapon történik. Papíralapú adatkezelés esetében Adatkezelő a jelen szabályzattól formailag különálló Iratkezelési Szabályzatot is alkot, amely a jelen Szabályzat szerinti általános rendelkezéseket kiegészíti, és amelyre a jelen Szabályzat hatálya kiterjed. Jelen Szabályzat hatálya nem terjed ki az adat-és információbiztonság szabályozására, valamint a közérdekű adatok elektronikus közzétételének és a közérdekű adatigénylések teljesítésének rendjére, melyekről külön szabályzatok rendelkeznek.
személyi hatály: a Szabályzat személyi hatálya kiterjed az Adatkezelőre, így az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. összes munkavállalójára, továbbá azon személyekre, akik adatait e Szabályzat hatálya alá tartozó adatkezelések tartalmazzák, illetve azon személyekre, akik jogait vagy jogos érdekeit az adatkezelés érinti.
Értelmező rendelkezések
Érintett: bármely információ alapján azonosított vagy azonosítható természetes személy.
Magyarázó példa: Minden természetes személy, aki az Adatkezelő szolgáltatásai iránt érdeklődik, az ügyfél, a kamerával megfigyelt területre belépő, stb.
Személyes adat: az érintettre vonatkozó bármely információ, így az érintettel kapcsolatba hozható adat - különösen az érintett neve, azonosító jele, valamint egy vagy több fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző ismeret-, valamint az adatból levonható, az érintettre vonatkozó következtetés is.
Magyarázó példa: név, cím, telefonszám, anyja neve, IP cím, bankszámlaszám, stb.
Különleges adat: a személyes adatok különleges kategóriáiba tartozó minden adat, azaz a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok (ha az szabályzat szövege a továbbiakban személyes adat kifejezést használ, abba beleértendő a különleges adat is, kivéve, ha az szabályzat ettől eltérően rendelkezik).
Magyarázó példa: egészségi állapot, vallási meggyőződés, stb.
Hozzájárulás: az érintett akaratának önkéntes, határozott és megfelelő tájékoztatáson alapuló egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy az akaratát félreérthetetlenül kifejező más magatartás útján jelzi, hogy beleegyezését adja a rá vonatkozó személyes adatok kezeléséhez.
Magyarázó példa: A gyakorlatban az adatkezeléshez hozzájáruló nyilatkozat.
Adatkezelés: az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése.
Magyarázó példa: egyszeri információkérés, ajánlatkérés, hírlevél küldés, stb.
Adatkezelő: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely - törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között - önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja.
Magyarázó példa: A szervezetnél adatkezelőként meghatározott személy.
Adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely - törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között és feltételekkel - az Adatkezelő megbízásából vagy rendelkezése alapján személyes adatokat kezel.
Magyarázó példa: tárhelyszolgáltató.
Adatzárolás: az adat azonosító jelzéssel való ellátása további kezelésének végleges vagy meghatározott időre történő korlátozása céljából.
Magyarázó példa: érintett az adatok zárt/korlátozott kezelését kéri.
Adattovábbítás: az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele.
Magyarázó példa: adattovábbítás a partner felé.
Adattörlés: az adat felismerhetetlenné tétele oly módon, hogy helyreállítása többé nem lehetséges.
Magyarázó példa: elektronikusan tárolt adatok visszaállíthatatlan törlése.
Adatmegsemmisítés: az adatot tartalmazó adathordozó teljes fizikai megsemmisítése.
Magyarázó példa: papír alapú dokumentumok fizikai megsemmisítése.
Adatvédelmi tisztviselő: az Adatkezelőnek a személyes adatok kezelésére vonatkozó jogi előírások teljesítésének és az érintettek jogai érvényesülésének elősegítése érdekében alkalmazott munkavállalója.
Harmadik személy: az EGER VÁROSI TURISZTIKAI NONPROFIT KFT-én, valamint az érintetten kívül minden más természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet.
Magyarázó példa: egy másik adatkezelő.
Adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
Magyarázó példa: hackelés eredménye, zsarolóvírus, adatszivárgás, adatlopás.
Adatkezelési nyilvántartás: adatvédelemért felelős munkatárs által kezelt személyes adatok, illetve közérdekű adatok összességének számbavétele.
Magyarázó példa: egy-egy adatkezelésben kezelt adatok összessége.
Hatóság: a Nemzeti Adatvédelmi és Információszabadság Hatóság.
Profilalkotás: a személyes adat bármely olyan - automatizált módon történő - kezelése, amely az érintett személyes jellemzőinek, különösen a munkahelyi teljesítményéhez, gazdasági helyzetéhez, egészségi állapotához, személyes preferenciáihoz vagy érdeklődéséhez, megbízhatóságához, viselkedéséhez, tartózkodási helyéhez vagy mozgásához kapcsolódó jellemzőinek értékelésére, elemzésére vagy előrejelzésére irányul.
Az Adatkezelő személye
Az adatkezelő neve: Eger Városi Turisztikai Nonprofit Korlátolt Felelősségű Társaság
Az adatkezelő címe: 3300 Eger, Bajcsy-Zsilinszky u 9.
Az adatkezelő elérhetőségei: Tourinform Iroda
E-mail: eger@tourinform.hu
Telefon: 06/36/517-715
Honlap: https://visiteger.com/
Az adatkezelő képviselője: Sarusi-Kis Ádám
1.) Munkatárs, akinek tevékenységével kapcsolatban az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. teljes felelősséget vállal az érintettek személyi köre és harmadik személyek irányában.
2.) Hivatkozva a fenti alpontokra, az Adatkezelő kifejezésen érteni kell a Munkatársat is, ha a Szabályzat szövegéből más nem következik.
II. A SZEMÉLYES ADATOK VÉDELME
Az adatkezelés jogalapja
5.1 Személyes adat akkor kezelhető, ha
a) azt törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben, különleges adatnak vagy bűnügyi személyes adatnak nem minősülő adat esetén - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli (a továbbiakban: kötelező adatkezelés);
b) az a) pontban meghatározottak hiányában az az Adatkezelő törvényben meghatározott feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok kezeléséhez kifejezetten hozzájárult, ideértve azt az esetet is, amikor az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
c) az a) pontban meghatározottak hiányában az az érintett vagy más személy létfontosságú érdekeinek védelméhez, valamint a személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához vagy megelőzéséhez szükséges és azzal arányos, vagy
d) az a) pontban meghatározottak hiányában a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az adatkezelés céljának megvalósulásához szükséges és azzal arányos.
5.2 Különleges adat
a) a 5.1 c)-d) pontjában meghatározottak szerint, vagy
b) akkor kezelhető, ha az törvényben kihirdetett nemzetközi szerződés végrehajtásához feltétlenül szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog érvényesítése, továbbá a nemzetbiztonság, a bűncselekmények megelőzése, felderítése vagy üldözése érdekében vagy honvédelmi érdekből törvény elrendeli.
Különleges adatot az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. kizárólag törvény felhatalmazása alapján kezel, különösen a foglalkoztatáshoz kapcsolódó egészségügyi és érdekképviseleti szervezeti tagságra vonatkozó adatokat. Különleges adatok kezelésével járó ügyekben - a jogszabályokban és jelen Szabályzatban foglaltakon túl is - fokozott gondossággal kell eljárni.
Erkölcsi bizonyítványa bemutatására a munkavállaló a munkaviszony fennállása alatt is felhívható.
A munkavállalótól önkéntes hozzájárulás alapján csak olyan nyilatkozat megtétele vagy adat közlése kérhető, amely személyhez fűződő jogát nem sérti, és a munkaviszony létesítése, teljesítése vagy megszűnése szempontjából lényeges. Az ilyen nyilatkozat beszerzése előtt a munkavállalót minden részletre kiterjedő, világos, tájékoztatással kell ellátni, melynek birtokában a munkavállaló felelős nyilatkozatot tud tenni.
Ha a személyes adat felvételére az érintett hozzájárulásával került sor, a felvett adatokat, törvény eltérő rendelkezésének hiányában az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. a rá vonatkozó jogi kötelezettség teljesítése, valamint saját, illetve harmadik személy jogos érdekének érvényesítése céljából - ha ezen érdek érvényesítése a személyes adatok védelméhez fűződő jog korlátozásával arányban áll - további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti.
AZ EGER VÁROSI TURISZTIKAI NONPROFIT KFT. által végzett személyes adatkezelések
Az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. személyes adatkezelései általában jogszabályi előírásokon (ebben az esetben az adatok kezelését, tárolását jogszabályok teszik kötelezővé) vagy az érintett önkéntes hozzájárulásán alapulnak, továbbá valamely szerződés vagy jogi kötelezettség teljesítéséhez szükségesek, esetenként, külön érdekmérlegelés alapján az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. jogi érdekén alapulnak.
A személyes adatok védelméért, az adatkezelés jogszerűségéért az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. adatvédelemért felelős munkatársa a felelős. Az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. által kezelt személyes adatok védelméről, az adatvédelemmel kapcsolatos szabályok munkavállalók általi megismeréséről és betartásáról az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. adatvédelemért felelős munkatársa gondoskodik.
Az adatkezelés során alkalmazott alapelvek
Személyes adat kizárólag meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében kezelhető. Csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen és a cél elérésére alkalmas.
A személyes adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető. Mindezeket figyelembe véve az alábbi alapelvek mentén történik a személyes adatok kezelése:
a) Jogszerűség, tisztességes eljárás és átláthatóság:
A személyes adatok kezelését jogszerűen és tisztességesen, valamint az Érintett számára átlátható módon kell végezni.
b) Célhoz kötöttség:
A személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azokat nem lehet ezekkel a célokkal össze nem egyeztethető módon kezelni. Nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés.
c) Adattakarékosság:
A személyes adatkezelésnek az adatkezelés célja szempontjából megfelelőnek és relevánsak kell lennie, valamint a szükségesre kell korlátozódnia.
d) Pontosság:
A személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük; minden ésszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat az adatvédelemért felelős munkatárs haladéktalanul törölje vagy helyesbítse.
e) Korlátozott tárolhatóság:
A személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. A személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül sor, GDPR-ban, illetve az Info tv-ben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel.
f) Integritás és bizalmas jelleg:
A személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.
g) Elszámoltathatóság:
A személyes adatkezelésnek a fentiek szerinti megfeleléséért az adatvédelemért felelős munkatárs felel, akinek képesnek kell lennie e megfelelés igazolására.
Adatvédelmi hatásvizsgálat
Amennyiben az adatkezelés valamely, különösen új technológiákat alkalmazó típusa, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az adatvédelemért felelős munkatárs az adatkezelést megelőzően, az Info tv. 25/G §-a szerint hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik.
Adatfeldolgozási megállapodás
Az Adatkezelő kizárólag olyan Adatfeldolgozókat vehet igénybe, akik megfelelő garanciákat nyújtanak a GDPR rendelkezései szerinti, megfelelő technikai és szervezési intézkedések végrehajtására. Ezen garanciákat az adatkezelés megkezdését megelőzően az Adatfeldolgozó igazolja az Adatkezelő számára. Ennek keretében az Adatfeldolgozó által végzett adatkezelést az uniós jog vagy tagállami jog alapján létrejött olyan – az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, valamint az Adatkezelő kötelezettségeit és jogait meghatározó – szerződésnek kell szabályoznia, amely köti az Adatfeldolgozót az Adatkezelővel szemben.
Adatvédelmi incidensek kezelése
Adatvédelmi incidens bekövetkezéséről rögtön értesíteni kell az adatvédelemért felelős munkatársat, aki az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Hatóságnak.
Az adatvédelmi incidenst nem kell bejelenteni, ha valószínűsíthető, hogy az nem jár kockázattal az érintettek jogainak érvényesülésére.
Az adatvédelemért felelős munkatárs köteles kivizsgálni az adatvédelmi incidens körülményeit, kiváltó okait, hatásait, valamint értesíteni a társaság vezető tisztségviselőit az adatvédelmi incidens bekövetkezéséről és a lefolytatott vizsgálat eredményéről.
A Hatóság felé történő bejelentési kötelezettség keretei között az Adatkezelő
a) ismerteti az adatvédelmi incidens jellegét, beleértve - ha lehetséges - az érintettek körét és hozzávetőleges számát, valamint az incidenssel érintett adatok körét és hozzávetőleges mennyiségét,
b) tájékoztatást nyújt az adatvédelmi tisztviselő vagy a további tájékoztatás nyújtására kijelölt más kapcsolattartó nevéről és elérhetőségi adatairól,
c) ismerteti az adatvédelmi incidensből eredő, valószínűsíthető következményeket, és
d) ismerteti az Adatkezelő által az adatvédelmi incidens kezelésére tett vagy tervezett - az adatvédelmi incidensből eredő esetleges hátrányos következmények mérséklését célzó és egyéb - intézkedéseket.
Az adatvédelmi incidens bekövetkezése estén érintett adatkezelő munkatárs azonnal megkezdi az adatvédelmi incidens következményeinek elhárítását, a jogellenes állapot megszüntetését a Jogi igazgatóság bevonásával.
Az Érintett tájékoztatáskérési joga
Az érintett kérelmezheti az EGER VÁROSI TURISZTIKAI NONPROFIT KFT-től
a) tájékoztatását személyes adatai kezeléséről,
b) személyes adatainak helyesbítését, valamint
c) személyes adatainak - a kötelező adatkezelés kivételével - törlését vagy zárolását.
Az érintett kérelmére az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. legfeljebb 15 napon belül írásban tájékoztatást ad az érintettre vonatkozó, általa kezelt személyes adatokról, azok forrásáról, az adatkezelés céljáról, jogalapjáról, időtartamáról, bekövetkezett adatvédelmi incidens körülményeiről, hatásairól és az elhárítására megtett intézkedésekről, továbbá - az érintett személyes adatainak harmadik személynek történő továbbítása esetén - az adattovábbítás jogalapjáról és címzettjéről.
A tájékoztatás ingyenes, ha a tájékoztatást kérő a folyó évben azonos adatkörre vonatkozóan tájékoztatási kérelmet még nem nyújtott be. Egyéb esetekben költségtérítés állapítható meg. A már megfizetett költségtérítést vissza kell téríteni, ha az adatokat jogellenesen kezelték.
Nyilvántartások és hozzáférési jogosultságok
Az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. személyes adatokkal kapcsolatos adatkezeléseikről adatkezelési nyilvántartást, a bekövetkezett adatvédelmi incidensekről adatvédelmi incidens nyilvántartást vezet.
Az EGER VÁROSI TURISZTIKAI NONPROFIT KFT. által végzett adatkezelési tevékenységről a nyilvántartást az adatvédelemért felelős munkatárs vezeti, amelynek naprakészségéért is az adatvédelemért felelős munkatárs a felelős. A társaság vezető tisztségviselője a nyilvántartást minden év december 31. napjáig felülvizsgálja, és a felülvizsgálatról készült jegyzőkönyvet, valamint a felülvizsgált nyilvántartást 30 napon belül megküldi az adatvédelemért felelős munkatársnak, aki az adatkezelési nyilvántartását vezeti.
Az egyes nyilvántartások, adatkezelések tekintetében a hozzáférési jogosultságot az adatvédelemért felelős munkatársnak személyre lebontottan meg kell határoznia és gondoskodnia kell az időszerű állapotnak megfelelő nyilvántartás vezetéséről.
Az érintett előzetes tájékoztatása
Az érintettel az adatkezelés megkezdése előtt közölni kell az adatkezelés jogalapját, valamint egyértelműen és részletesen tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról, az adatkezelésre jogosult személyéről, az adatkezelés időtartamáról, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is.
Az érintett jogai és jogorvoslati lehetőségei az adatkezelés során
Az érintettet a személyes adatainak kezelése során a GDPR-ral és az Info tv-ben foglaltakkal összhangban az Adatvédelmi Szabályzat e fejezetében meghatározott jogok gyakorlása illeti meg.
14.1. A tájékoztatás és „hozzáférés joga”
Az Info tv. és a GDPR 15. cikke alapján az érintett kérelmére az Adatkezelő tájékoztatást ad:
az adatkezelés céljáról/céljairól,
az általa kezelt adatokról és személyes adatok kategóriáiról,
azon címzettek vagy címzettek kategóriáiról, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket (adatfeldolgozókról és adatközlés más címzettjeiről),
az adatkezelés jogalapjáról, jogszerűségéről,
az adatkezelés időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól,
adott esetben ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információról,
adott esetben az automatizált döntéshozatalról, ideértve a profilalkotást is, valamint a logikára és arra vonatkozó érthető információkról, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár,
az adatvédelmi incidens körülményeiről, hatásairól és az elhárítására megtett intézkedésekről, ha az érintett ilyen incidens alanyává vált.
Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja, ha ezt az érintett kéri. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.
Adatkezelő felhívja az érintettek figyelmét, hogy a tájékoztatást meg fogja tagadni, ha
a tájékoztatás hátrányosan érinti mások jogait, szabadságait;
törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusának rendelkezése alapján az Adatkezelő személyes adatot akként vesz át, hogy az adattovábbító adatkezelő az adattovábbítással egyidejűleg jelzi a személyes adat érintettje a nevezett törvényben biztosított jogainak korlátozását, vagy kezelésének egyéb korlátozását;
az állam külső és belső biztonsága, így a honvédelem, a nemzetbiztonság, a bűncselekmények megelőzése vagy üldözése, a büntetés-végrehajtás biztonsága érdekében, továbbá állami vagy önkormányzati gazdasági vagy pénzügyi érdekből, az Európai Unió jelentős gazdasági vagy pénzügyi érdekéből, valamint a foglalkozások gyakorlásával összefüggő fegyelmi és etikai vétségek, a munkajogi és munkavédelmi kötelezettségszegések megelőzése és feltárása céljából - beleértve minden esetben az ellenőrzést és a felügyeletet is -, továbbá az érintett vagy mások jogainak védelme érdekében.
Adatkezelő az elutasított tájékoztatási kérelmekről a Nemzeti Adatvédelmi és Információszabadság Hatóságot évente értesíti, ha jogszabály alapján fennáll ilyen kötelezettsége.
14.2. A helyesbítés joga
Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését. Ugyanakkor, ha a személyes adat a valóságnak nem felel meg, és a valóságnak megfelelő személyes adat az Adatkezelő rendelkezésére áll, a személyes adatot az Adatkezelő kötelezően helyesbíti, az érintett kérése nélkül is. Adatkezelő a helyesbítés megtörténtéről tájékoztatja az érintettet.
14.3. A törléshez való jog, „elfeledtetéshez való jog”
Az érintett jogosult arra, hogy kérésére az Adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha az alábbi indokok valamelyike fennáll:
Abban az esetben, ha az Adatkezelő valamely okból nyilvánosságra hozta a személyes adatot, és azt a fentiek értelmében törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő más adatkezelőket, hogy az érintett kérelmezte a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.
Az Adatkezelő felhívja az érintettek figyelmét a törléshez vagy az „elfeledtetéshez való jog” GDPR 17. cikk (3) bekezdésben meghatározott korlátaira, amelyek a következők:
jogi igények előterjesztése, érvényesítése, illetve védelme.
14.4. Az adatkezelés korlátozásához, vagy más néven zároláshoz való jog
Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, az adatokhoz történő hozzáférést, ha az alábbi feltételek valamelyike fennáll:
Adatkezelő indokolatlan késedelem nélkül, maximum a kérelem beérkezésétől számított 15 napon belül tájékoztatja az érintettet a kérelmében meghatározottakról, és/vagy helyesbíti az adatokat, és/vagy törli és/vagy korlátozza (zárolja) az adatokat, vagy egyéb lépéseket tesz meg a kérelemnek megfelelően, ha nincsen azt kizáró ok.
Az Adatkezelő a helyesbítésről, a törlésről, az adatkezelés korlátozásának megtörténtéről írásban értesíti az érintettet, továbbá mindazokat, akiknek korábban az adatot adatkezelés céljára továbbították, átadták. Az érintettet kérésére az Adatkezelő tájékoztatja e címzettekről. Az értesítés mellőzhető, ha ez az adatkezelés céljára való tekintettel az érintett jogos érdekét nem sérti, vagy ha a tájékoztatás lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az Adatkezelő arról is köteles írásban értesíteni az érintettet, ha az érintett joggyakorlása valamely okból nem valósulhat meg. Ebben az esetben az Adatkezelő köteles megjelölni pontos ténybeli okot és jogalapot, valamint az érintett számára nyitva álló jogorvoslati lehetőségeket: a bírósághoz és a Nemzeti Adatvédelmi és Információszabadsághoz fordulás lehetőségét.
14.5. A tiltakozáshoz való jog
Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okból bármikor tiltakozzon személyes adatainak kezelése ellen, ha a személyes adatok kezelésére az adatkezelő jogos érdeke, vagy a közhatalmi jelegge miatt kerül sor.
14.6. Tiltakozás közvetlen üzletszerzés estén
Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett a GDPR 21. cikk (3) bekezdése alapján jogosult arra, hogy bármikor tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen, ideértve a profilalkotást is, amennyiben az a közvetlen üzletszerzéshez kapcsolódik. Ha az érintett tiltakozik a személyes adatok közvetlen üzletszerzés érdekében történő kezelése ellen, akkor a személyes adatok a továbbiakban e célból nem kezelhetők.
Az Adatkezelő a tiltakozást a kérelem benyújtásától számított legrövidebb időn belül, de legfeljebb 15 nap alatt megvizsgálja, és annak eredményéről a kérelmezőt írásban tájékoztatja. Amennyiben a kérelmező tiltakozása megalapozott, az Adatkezelő az adatkezelést – beleértve a további adatfelvételt és adattovábbítást is – megszünteti, és az adatokat zárolja, valamint a tiltakozásról, illetőleg az annak alapján tett intézkedésekről értesíti mindazokat, akik részére a tiltakozással érintett személyes adatot korábban továbbította, és akik kötelesek intézkedni a tiltakozási jog érvényesítése érdekében.
Amennyiben az érintett az Adatkezelő döntésével nem ért egyet, vagy az Adatkezelő a hivatkozott határidőt elmulasztja, jogosult – annak közlésétől számított 30 napon belül – bírósághoz fordulni.
14.7. Az adathordozhatósághoz való jog
Az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta.
14.8. Jogorvoslathoz való jog
14.8.1. Bírósági jogérvényesítés
Az érintett a jogainak megsértése esetén bírósághoz fordulhat. A bíróság az ügyben soron kívül jár el. Azt, hogy az adatkezelés a jogszabályban foglaltaknak megfelel, az Adatkezelő köteles bizonyítani.
14.8.2. Az érintett bejelentéssel, panasszal élhet:
Nemzeti Adatvédelmi és Információszabadság Hatóság Cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c
Telefon: +36 (1) 391-1400
Fax: +36 (1) 391-1410
www: http://www.naih.hu
e-mail: ugyfelszolgalat@naih.hu
Kiskorúakat sértő, gyűlöletkeltő, kirekesztő tartalmakkal, helyreigazítással, elhunyt személy jogaival, jó hírnév megsértésével kapcsolatos jogainak megsértése esetén az érintett bejelentéssel, panasszal élhet:
Nemzeti Média- és Hírközlési Hatóság 1015 Budapest, Ostrom u. 23-25.
Levélcím: 1525. Pf. 75
Tel: (06 1) 457 7100
Fax: (06 1) 356 5520
E-mail: info@nmhh.hu
14.8.3. Kártérítésre és sérelemdíjra vonatkozó törvényi szabályok: Abban az esetben, ha az Adatkezelő az érintett adatainak jogellenes kezelésével vagy az adatbiztonság követelményeinek megszegésével az érintett személyiségi jogát megsérti, az érintett az Adatkezelőtől sérelemdíjat követelhet.
Abban az esetben, ha Adatkezelő adatfeldolgozót vett igénybe, az érintettel szemben az Adatkezelő felel az adatfeldolgozó által okozott kárért és az Adatkezelő köteles megfizetni az érintettnek az adatfeldolgozó által okozott személyiségi jogsértés esetén járó sérelemdíjat is. Az Adatkezelő mentesül az okozott kárért való felelősség és a sérelemdíj megfizetésének kötelezettsége alól, ha bizonyítja, hogy a kárt vagy az érintett személyiségi jogának sérelmét az adatkezelés körén kívül eső elháríthatatlan ok idézte elő.
Nem kell megtéríteni a kárt és nem követelhető a sérelemdíj annyiban, amennyiben a kár a károsult vagy a személyiségi jog megsértésével okozott jogsérelem az érintett szándékos vagy súlyosan gondatlan magatartásából származott.
III. MUNKAVÁLLALÓI ADATKEZELÉSSEL KAPCSOLATOS RENDELKEZÉSEK
Adatkezelő kiemelten fontosnak tartja munkavállalói személyes adatainak megfelelő kezelését, ezért a legfontosabb munkahelyi személyes adatkezelések kapcsán az alábbi elvek és rendelkezések szerint jár el.
A munkavállaló személyes adata csak akkor kezelhető, ha az adat kezelése nélkül a munkaviszony létesítése, fenntartása, megszűnése nem lenne lehetséges. A munkáltatónak adatkezelései jogszerűségét azzal kell alátámasztania, hogy minden adatkezelése vonatkozásában igazolni tudja az adatkezelés célját, és azt, hogy az adatkezelés a cél eléréséhez szükséges. A munkáltató köteles a munkavállalóktól kért adatok körét előre oly módon meghatározni, hogy az adatok kizárólag a munkaviszony létesítéséhez, fenntartásához, megszűnéséhez kapcsolódjanak.
A munkavállalókat tájékoztatni kell arról, hogy a tőlük kért adatok, a velük szemben alkalmazott vizsgálatok milyen információként szolgálhatnak a munkáltató számára.
Amennyiben az adatokon eltérő célokból végeznek műveleteket, akkor a célokat egyenként definiálni kell. Továbbá az adatkezelésnek minden szakaszában meg kell felelnie az adott adatkezelési célnak, és tilos adatokat kezelni olyan újabb célból, amely összeegyeztethetetlen az eredetivel.
Amennyiben a munkáltató a munkaszerződés alapján rendelkezésére álló adatokat fel akarja használni belső képzés szervezésére, akkor ez a munkajogviszonyból fakadó, korábbi adatkezelésekhez képest új adatkezelési cél, amelyet külön definiálnia kell.
Abban az esetben, ha a munkakörre vonatkozóan jogszabály alkalmassági vizsgálatot ír elő, a munkahelyi felvételi eljárás során kizárólag olyan kérdést intézhet a munkáltató a leendő munkavállaló felé, amely a munkaviszony, az alkalmassági vizsgálat szempontjából releváns, és az érintett személyiségi jogait - így a személyes adatok védelméhez való jogát - nem sérti.
A munkáltatónak a munkavállalók munkaviszonnyal összefüggő magatartásának ellenőrzése körében lehetőleg olyan módszert kell választania, amely nem jár együtt személyes adat kezelésével. Ha nincs ilyen, akkor a magánszférát legkevésbé korlátozó módszert kell alkalmaznia, amelynek nyomán korlátozott körben ismer meg személyes adatokat.
A munkáltatónak biztosítania kell a munkavállaló jelenlétét a munkáltatói ellenőrzés során. Ez csak abban az esetben mellőzhető, amennyiben a munkavállaló jelenléte lehetetlen, különös nehézségbe ütközik, vagy a munkavállaló jelenlétének biztosítása aránytalanul nagy terhet róna a munkáltatóra. Ilyen esetben a munkáltatónak kell bizonyítania a munkavállaló jelenlétének elmaradását kiváltó okot.
Eger, 2019. július 19.
Törőcsik Gábor
ügyvezető
