ADATVÉDELMI SZABÁLYZAT

Átírás

1 SKILL TRÉNING Maczkó-Dörnyei Nóra egyéni vállalkozó ADATVÉDELMI SZABÁLYZAT hatályos: november 15.-től

2 Adatvédelmi szabályzat Maczkó-Dörnyei Nóra Egyéni Vállalkozó (továbbiakban: Adatkezelő) az Adatvédelmi Szabályzatát az alábbiak szerint alkotta meg, valamint az alábbiakban ismerteti a személyes adatok adatkezelési tevékenységére vonatkozó legfontosabb adatkezelési elveit. Bemutatja azokat a szempontokat, követelményeket, amelyeket saját magával, mint Adatkezelővel szemben megfogalmazott és előírt, valamint adatkezelési elve összhangban vannak a személyes adatok védelmével kapcsolatos hatályos hazai és európai jogszabályokkal. Jogi háttér: Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) (a továbbiakban: adatvédelmi rendelet) évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról (Infotv.); évi V. törvény a Polgári Törvénykönyvről (Ptk.); évi CXIX. törvény a kutatás és a közvetlen üzletszerzés célját szolgáló név- é lakcímadatok kezeléséről (Katv.); évi CLV. törvény a fogyasztóvédelemről (Fgytv.); évi XIX. törvény a büntetőeljárásról (Be.); évi C. törvény a számvitelről (Számv. tv.); évi XLVIII. törvény a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól (Grt.). Tárgyi hatály: E rendeletet kell alkalmazni a személyes adatoknak az Unióban tevékenységi hellyel rendelkező Adatkezelők vagy Adatfeldolgozók tevékenységeivel összefüggésben végzett kezelésére, függetlenül attól, hogy az adatkezelés az Unió területén történik vagy nem. Alapelvek: 1. Jogszerűség, tisztességes eljárás és átláthatóság: A személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. 2. Célhoz kötöttség: A személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon. Nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő továbbiadatkezelés. 3. Adattakarékosság: A személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk. 4. Pontosság: A személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük. Minden ésszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék a műszaki szabályokkal és az információs társadalom szolgáltatásaira vonatkozó szabályokkal kapcsolatos információszolgáltatási eljárás megállapításáról. 5. Korlátozott tárolhatóság: A személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. A személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel. 6. Integritás és bizalmas jelleg: A személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve. 7. Elszámoltathatóság: Az Adatkezelő felelős a fenti alapelveknek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására. Adatkezelés Az Adatkezelő gondoskodik az adatok biztonságáról, köteles továbbá megtenni azokat a technikai és szervezési intézkedéseket, illetve kialakítani azokat az eljárási szabályokat, amelyek az Info tv., valamint az egyéb adat- és titokvédelmi szabályok érvényre juttatásához szükségesek. A különböző nyilvántartásokban elektronikusan kezelt adatállományok védelme érdekében az Adatkezelő megfelelő technikai megoldással biztosítja, hogy a nyilvántartásokban tárolt adatok kivéve, ha azt törvény lehetővé teszi közvetlenül ne legyenek összekapcsolhatók, valamint az érintetthez rendelhetők. Adatkezelő feladata 1. Adatkezelési nyilvántartás Minden Adatkezelő és Adatfeldolgozó a felelősségébe tartozóan végzett adatkezelési tevékenységekről nyilvántartást vezet. A nyilvántartás-vezetési kötelezettségek nem vonatkoznak a 250 főnél kevesebb személyt foglalkoztató vállalkozásra vagy szervezetre, kivéve, ha az általa végzett adatkezelés az érintettek jogaira és szabadságaira nézve valószínűsíthetően kockázattal jár, ha az adatkezelés nem alkalmi jellegű, vagy ha az adatkezelés kiterjed a személyes adatok különleges kategóriáinak vagy büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatoknak a kezelésére. 2. Az adatkezelés biztonsága Az Adatkezelő a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja. A papír alapon begyűjtött adatokat az Adatkezelő kulccsal elzárható szekrényben, az elektronikusan feldolgozott és nyilvántartott adatokat felhő alapú szolgáltatást igénybe véve, jelszóval védett Google Drive adatbázisban, a telefonszámokat ujjlenyomatolvasóval rendelkező, jelszóval védett mobiltelefon készülékében tárolja. 2

3 3. Az adatvédelmi incidens bejelentése Az adatvédelmi incidenst az Adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti a felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is. Az Adatfeldolgozó az adatvédelmi incidenst, az arról való tudomásszerzését követően indokolatlan késedelem nélkül bejelenti az Adatkezelőnek. Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az Adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről. 4. Adatvédelmi hatásvizsgálat Ha az adatkezelés valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az Adatkezelő az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Olyan egymáshoz hasonló típusú adatkezelési műveletek, amelyek egymáshoz hasonló magas kockázatokat jelentenek, egyetlen hatásvizsgálat keretei között is értékelhetők. 5. Előzetes konzultáció Ha az adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés az Adatkezelő által a kockázat mérséklése céljából tett intézkedések hiányában valószínűsíthetően magas kockázattal jár, a személyes adatok kezelését megelőzően az Adatkezelő konzultál a felügyeleti hatósággal. Bizonyítható hozzájárulás Az Adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek legalább tisztában kell lennie az Adatkezelő kilétével és a személyes adatok kezelésének céljával. A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna. A hozzájárulás e szerint akkor megfelelő, ha tevőleges, tehát a személy maga pipálja ki a bejelölő négyzetet, mert így kizárt annak lehetősége, hogy a feliratkozó tekintete véletlenül átsiklik egy már bejelölt négyzet felett. A hozzájárulás azt a követelményt is állítja, hogy annak megfelelő tájékoztatáson alapulónak kell lennie, nyilatkozik, hogy a tájékoztatást megismerte. Szükséges, hogy a személy proaktívan járuljon hozzá személyes adatai kezeléséhez, pl. beikszel egy négyzetet a hozzájárulás esetén, vagy írja alá a tájékoztatást. A hozzájárulás fogalmát a GDPR az alábbi, igencsak körülményes fordulattal határozza meg: az érintett hozzájárulása : az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. Érthető tájékoztatás Az Adatkezelőnek megfelelő intézkedéseket kell hoznia annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó valamennyi tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban (akár elektronikusan) kell megadni. Az adatkezelési tájékoztató tartalma az Adatkezelő kiléte és elérhetőségei; az adatvédelmi tisztviselő elérhetőségei, ha van ilyen; a személyes adatok tervezett kezelésének célja, az adatkezelés jogalapja; a 6. cikk (1) bekezdésének f) pontján alapuló adatkezelés esetén, az Adatkezelő vagy harmadik fél jogos érdekei; adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen; A GDPR szerint az adatkezeléssel érintett személyek jogai Tájékoztatáshoz való jog: megfelelő méretű, nyelvű, egyszerű nyelvezetű és könnyen fellelhető információt köteles adni az Adatkezelő az adatkezelés lényeges szempontjairól (ki, mit, mire, hogyan, mettől meddig használ, stb.) a GDPR pontosan meghatározza a szükséges információk körét. A tájékoztatásnak lehetőleg már a személyes adatok felvétele előtt meg kell történnie. Ha erre nincs mód mert pl. az adatokat harmadik személytől szerzik be, mondjuk, valaki elküldi egy barátja önéletrajzát a HR-osztálynak úgy az első lehetséges időpontban. Hozzáféréshez való jog: a magánszemély kérhet tájékoztatást arról, hogy történik-e rá vonatkozó adatkezelés, és ha igen, akkor mely adatait kezelik. Adatok helyesbítésének kérése: az érintett jelezheti, hogy a kezelt adatok pontatlanok, és kérheti, hogy azok helyett mi kerüljön feltüntetésre megjegyezzük, hogy az adatok pontosságáért az Adatkezelőt terheli a felelősség, így célszerű időről időre ellenőrizni azok pontosságát; Törléshez való jog: az érintett bármikor kérheti adatai törlését. Amennyiben az Adatkezelő hozzáférést engedett harmadik személyeknek a törölni kért adatokhoz, akkor tájékoztatnia kell mindazokat, akik számára nyilvánosságra hozta az érintett adatot, hogy minden hivatkozást, illetve náluk tárolt személyes adatot töröljenek. Ennek célja az, hogy hacsak annak jogi vagy észszerű akadálya nincs az érintett adat tűnjön el a fellelhető adatbázisokból. Adatai törlését bárki az Adatkezelőhöz címzett nyilatkozattal kérheti szóban, írásban, postai címen, címen, weboldalon célszerűen azon a fórumon, amelyen keresztül az adatok jogszerűen az Adatkezelőhöz kerültek. Ezért is fontos, hogy az Adatkezelő az adatvédelmi tájékoztatójában feltüntesse pontos elérhetőségeit. Az adatkezelés korlátozásához való jog: bizonyos esetekben a személyes adatok kezelésével érintett személy kérheti személyes adatai kezelésének korlátozását. 3

4 Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha az alábbi feltételek valamelyike teljesül: az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az Adatkezelő ellenőrizze a személyes adatok pontosságát; az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását; az Adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; az érintett tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az Adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben. Adathordozhatósághoz való jog: az érintett kérheti, hogy a rá vonatkozóan kezelt adatokat tagolt, széles körben használt, géppel olvasható formátumban (pl..doc,.pdf stb.) megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik Adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az eredeti Adatkezelő. Azaz megkönnyíti az adatkezeléssel érintett helyzetét, hogy személyes adatait egyik Adatkezelőtől a másikhoz vigye át. Bár ez a jog jól hangzik, kérdés, hogy mennyire lesz megvalósítható a gyakorlatban. Tiltakozáshoz való jog: az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból kifolyólag bármikor tiltakozzon személyes adatainak meghatározott okból történő kezelése ellen. Ez tipikusan akkor szokott megtörténni, amikor az érintett nem adta hozzájárulását személyes adatai adott kezeléséhez. A kártérítéshez való jog és felelősség Minden olyan személy, aki a rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az Adatkezelőtől vagy az Adatfeldolgozótól kártérítésre jogosult. Az adatkezelésben érintett valamennyi Adatkezelő felelősséggel tartozik minden olyan kárért, amelyet a rendeletet sértő adatkezelés okozott. Az Adatfeldolgozó csak abban az esetben tartozik felelősséggel az adatkezelés által okozott károkért, ha nem tartotta be az e rendeletben meghatározott, kifejezetten az Adatfeldolgozókat terhelő kötelezettségeket, vagy ha az Adatkezelő jogszerű utasításait figyelmen kívül hagyta vagy azokkal ellentétesen járt el. Az Adatkezelő mentesül az okozott kárért való felelősség és a sérelemdíj megfizetésének kötelezettsége alól, ha bizonyítja, hogy a kárt vagy az érintett személyiségi jogának sérelmét az adatkezelés körén kívül eső elháríthatatlan ok idézte elő. Nem kell megtéríteni a kárt és nem követelhető a sérelemdíj, amennyiben a kár a károsult vagy a személyiségi jog megsértésével okozott jogsérelem az érintett szándékos vagy súlyosan gondatlan magatartásából származott. Panaszok Panasz esetén az érintett a jogainak megsértése esetén az Adatkezelő ellen bírósághoz vagy az adatvédelmi hatósághoz fordulhat. Jogorvoslati lehetőséggel a következő elérhetőségeken lehet élni: Nemzeti Adatvédelmi és Információszabadság Hatóság Cím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c. Telefon: Fax: ugyfelszolgalat@naih.hu Weboldal: naih.hu Bírósági jogérvényesítés Azt, hogy az adatkezelés a jogszabályban foglaltaknak megfelel, az Adatkezelő köteles bizonyítani. Az adattovábbítás jogszerűségét az adatátvevő köteles bizonyítani. A per elbírálása a törvényszék hatáskörébe tartozik. A per az érintett választása szerint az érintett lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható. A perben fél lehet az is, akinek egyébként nincs perbeli jogképessége. A perbe a Hatóság az érintett pernyertessége érdekében beavatkozhat. Ha a bíróság a kérelemnek helyt ad, az Adatkezelőt a tájékoztatás megadására, az adat helyesbítésére, zárolására, törlésére, az automatizált adatfeldolgozással hozott döntés megsemmisítésére, az érintett tiltakozási jogának figyelembevételére, illetve az adatátvevő által kért adat kiadására kötelezi. Ha a bíróság az adatátvevő kérelmét elutasítja, az Adatkezelő köteles az érintett személyes adatát az ítélet közlésétől számított 3 napon belül törölni. Az Adatkezelő köteles az adatokat akkor is törölni, ha az adatátvevő a meghatározott határidőn belül nem fordul bírósághoz. A bíróság elrendelheti ítéletének az Adatkezelő azonosító adatainak közzétételével történő nyilvánosságra hozatalát, ha azt az adatvédelem érdekei és nagyobb számú érintett védett jogai megkövetelik. Az adattovábbítás általános elve Olyan személyes adatok továbbítására, amelyeket harmadik országba vagy nemzetközi szervezet részére történő továbbításukat követően adatkezelésnek vetnek alá vagy szándékoznak alávetni, csak abban az esetben kerülhet sor, e rendelet egyéb rendelkezéseinek betartása mellett, ha az Adatkezelő a rendelet feltételeinek megfelel. Veszprém, november 15. 4

5 Adatkezelési tájékoztató Az Adatkezelő kiléte: Maczkó-Dörnyei Nóra egyéni vállalkozó Az Adatkezelő elérhetőségei: , Az adatkezelés célja az (akár munkáltatóval, mint harmadik féllel kötött) megbízási szerződésben foglalt, Adatkezelő által vállalt szolgáltatások (az Adatkezelő szakmai profiljába illően vállalati tréningek, coaching és mentoring szolgáltatások) és kötelezettségek teljesítése, jogok érvényesítése, az Ügyfelek azonosítása, az Ügyfelekkel való kapcsolattartás és kommunikáció. A személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló évi LXIII. törvény 6. (1) bekezdése alapján személyes adatainak közlése önkéntes. A Tv. 3. (5) bekezdése alapján valamint az EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2016/679 rendeleteinek előírásait figyelembe véve az Adatkezelővel való üzleti kapcsolat során az adatainak kezeléséhez hozzájárul. Aláírásával a törvényi vélelmet megerősítettnek tekintjük. Hozzájáruló nyilatkozat Alulírott Név:, mint Ügyfél Mobil telefonszám: cím: e jelölő négyzet bepipálásával igazolom, hogy az Adatkezelő Adatvédelmi Szabályzatát és Adatkezelési tájékoztatóját elolvastam, annak tartalmát megértettem és tudomásul vettem. e jelölő négyzet bepipálásával egyértelmű hozzájárulásomat adom, hogy az általam igénybe vett szolgáltatások során az Adatkezelő a fenti személyes adataimat az adatvédelemre vonatkozó szabályok betartásával kezelje. Kijelentem, hogy a fenti adatszolgáltatás önkéntes, az erről, illetőleg az adatkezelés céljáról és jogalapjáról, az adatkezelésre jogosult személyről, az adatkezelés időtartamáról, arról, hogy kik ismerhetik meg az adatokat, valamint az érintett adatkezeléssel kapcsolatos jogaimról és jogorvoslati lehetőségekről szóló egyértelmű és részletes tájékoztatást megkaptam. Jelen nyilatkozatot az információs önrendelkezési jogról és az információszabadságról szóló évi CXII. törvény 5. (1) bek. a) pontjában és a (2) bek. a) pontjában foglaltak alapján, valamint a május 25.-én életbe lépő GDPR rendelet alapján teszem. e jelölő négyzet bepipálásával továbbá hozzájárulok, hogy az Adatkezelő részemre postai úton levelet, elektronikus úton e- mailt küldjön. Ezen hozzájáruló nyilatkozat nem vonatkozik a kezelt adatok harmadik személy részére történő átadására, ez a törvényben írt kivételekkel kizárólag az előzetes hozzájárulásommal történhet. Jelen hozzájáruló nyilatkozat bármikor korlátozás, feltétel és indokolás nélkül visszavonható. Kijelentem, hogy ezen hozzájárulásomat önkéntesen, minden külső befolyás nélkül, a megfelelő tájékoztatás és a vonatkozó jogszabályi rendelkezések ismeretében tettem meg. Kelt: Ügyfél aláírása 5