,A MAGYAR VEGYIPARI, ENERGIAIPARI ÉS ROKON SZAKMÁKBAN DOLGOZÓK SZAKSZERVEZETI SZÖVETSÉGÉNEK
Általános Adatvédelmi Szabályzata
2018. május
1. AZ ADATVÉDELMI SZABÁLYZAT CÉLJA, HATÁLYA
1.1. Az Adatvédelmi Szabályzat célja, hogy meghatározza a Magyar Vegyipari, Energiaipari és Rokon Szakmákban Dolgozók Szakszervezeti Szövetségénél (továbbiakban: VDSZ), mint Adatkezelőnél zajló adatkezelések törvényes kereteit, biztosítsa az adatvédelem alkotmányos elveinek és az információs önrendelkezési jognak az érvényesítését, elősegítse az adatbiztonság követelményeinek való megfelelést, továbbá megakadályozza a jogosulatlan adatkezelést. Az Adatvédelmi Szabályzat kialakítja az adatvédelem szempontjából fontos feladatokat, felelősségi viszonyokat, különös tekintettel a munkavállalók szerepére az adatbiztonságban.
1.2. Jelen Szabályzat hatálya kiterjed az Adatkezelő és más adatkezelőkkel való személyes adatokat érintő kommunikációra.
1.3. Jelen Szabályzat hatálya kiterjed az VDSZ és annak önálló jogi személyiséggel rendelkező szervezeti egységeinek székhelyén folyó valamennyi adatkezelésre, adattovábbításra, információ átadásra, az ezen adatkezelés, információátadás tárgyát képező adat, jelen Szabályzatban meghatározottak szerinti, üzleti titokkénti kezelésével és védelmével kapcsolatos tevékenységekre.
1.4. A Szabályzat személyi hatálya kiterjed a VDSZ és annak származtatott jogi személyeinek valamennyi tisztségviselőjére, munkavállalójára, munkatársára, valamint a vele szerződéses vagy egyéb kapcsolatban álló, személyes adatkezelést végző személyekre.
1.5. A Szabályzat tárgyi hatálya kiterjed az VDSZ által kezelt valamennyi személyes adatra, a rajtuk végzett adatkezelési műveletek teljes körére, keletkezésük, kezelésük, feldolgozásuk helyétől, valamint megjelenési formájuktól függetlenül.
2. IRÁNYÍTÁS/FELÜGYELET
2.1. A jelen Szabályzatot az a szakszervezet legfőbb szerve hagyja jóvá és a székhelyén tárolja. A Szabályzat legalább évente felülvizsgálatra és jóváhagyásra kerül. A Szabályzat valamennyi szakszervezeti tag és munkavállaló számára elektronikus formában a www.vdsz.hu oldalon, míg papír alapon a szakszervezet országos irodájában érhető el.
3. FELELŐSSÉG ÉS JELENTÉS
3.1. A Szabályzat végrehajtásáért a szakszervezeti tisztségviselők felelősek. Valamennyi tisztségviselő és munkavállaló, munkatárs kötelezettsége annak bejelentése, ha a Szabályzat megkerüléséről vagy megsértéséről szerez tudomást, vagy ennek gyanúja merül fel. Bejelentés elsődlegesen a szokásos bejelentési csatornákon teendő, a szakszervezeti tisztségviselőknek.
4. JOGSZABÁLYI HIVATKOZÁS, KAPCSOLAT AZ ADATKEZELŐ BELSŐ SZABÁLYZATAIVAL
4.1. Jelen Adatvédelmi Szabályzat jogszabályi alapját a következő törvények jelentik:
- Magyarország Alaptörvénye;
- 2011. évi CXII. törvény – az információs önrendelkezési jogról és az információszabadságról (a továbbiakban: Infotv.);
- 2012. évi I. törvény – a munka törvénykönyvéről (Mt.);
- 2013. évi V. törvény – a Polgári Törvénykönyvről (Ptk.);
- Az Európai Parlament és Tanács 2016/679 Rendelete (GDPR)
4.2. Jelen Adatvédelmi és Adatbiztonsági Szabályzat az Adatkezelő alábbi belső szabályzataihoz kapcsolódik, azokkal együttesen értelmezendő:
- A VDSZ Alapszabálya
5. ÉRTELMEZŐ RENDELKEZÉSEK
5.1. érintett: bármely meghatározott, személyes adat alapján azonosított vagy – közvetlenül vagy közvetve – azonosítható természetes személy; a VDSZ és származtatott jogi személyeinek tagja, munkavállalója.
5.2. személyes adat: az érintettel kapcsolatba hozható adat – különösen az érintett neve, azonosító jele, valamint egy vagy több fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző ismeret –, valamint az adatból levonható, az érintettre vonatkozó következtetés;
5.3. különleges személyes adat: a faji eredetre, a nemzetiséghez tartozásra, a politikai véleményre vagy pártállásra, a vallásos vagy más világnézeti meggyőződésre, az érdek-képviseleti szervezeti tagságra, a szexuális életre vonatkozó személyes adat, az egészségi állapotra, a kóros szenvedélyre vonatkozó személyes adat, valamint a bűnügyi személyes adat;
5.4. hozzájárulás: az érintett akaratának önkéntes és határozott kinyilvánítása, amely megfelelő tájékoztatáson alapul, és amellyel félreérthetetlen beleegyezését adja a rá vonatkozó személyes adatok - teljes körű vagy egyes műveletekre kiterjedő - kezeléséhez;
5.5. tiltakozás: az érintett nyilatkozata, amellyel személyes adatainak kezelését kifogásolja, és az adatkezelés megszüntetését, illetve a kezelt adatok törlését kéri;
5.6. adatkezelő: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely önállóan vagy másokkal együtt az adatok kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja;
5.7. adatkezelés: az alkalmazott eljárástól függetlenül az adatokon végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adatok további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése;
5.8. adattovábbítás: az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele;
5.9. nyilvánosságra hozatal: az adat bárki számára történő hozzáférhetővé tétele;
5.10. adattörlés: az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges;
5.11. adatmegjelölés: az adat azonosító jelzéssel ellátása annak megkülönböztetése céljából;
5.12. adatzárolás: az adat azonosító jelzéssel ellátása további kezelésének végleges vagy meghatározott időre történő korlátozása céljából;
5.13. adatmegsemmisítés: az adatokat tartalmazó adathordozó teljes fizikai megsemmisítése;
5.14. adatfeldolgozás: az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől, feltéve, hogy a technikai feladatot az adatokon végzik;
5.15. adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely szerződés alapján – beleértve a jogszabály rendelkezése alapján kötött szerződést is – adatok feldolgozását végzi;
5.16. harmadik személy: olyan természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely nem azonos az érintettel, az adatkezelővel vagy az adatfeldolgozóval;
5.17. harmadik ország: minden olyan állam, amely nem EGT-állam;
5.18. EGT-állam: az Európai Unió tagállama és az Európai Gazdasági Térségről szóló megállapodásban részes más állam, továbbá az az állam, amelynek állampolgára az Európai Unió és tagállamai, valamint az Európai Gazdasági Térségről szóló megállapodásban nem részes állam között létrejött nemzetközi szerződés alapján az Európai Gazdasági Térségről szóló megállapodásban részes állam állampolgárával azonos jogállást élvez;
5.19. üzleti titok: a gazdasági tevékenységhez kapcsolódó minden nem közismert vagy az érintett gazdasági tevékenységet végző személyek számára nem könnyen hozzáférhető olyan tény, tájékoztatás, egyéb adat és az azokból készült összeállítás, amelynek illetéktelenek által történő megszerzése, hasznosítása, másokkal való közlése vagy nyilvánosságra hozatala a jogosult jogos pénzügyi, gazdasági vagy piaci érdekét sértené vagy veszélyeztetné, feltéve, hogy a titok megőrzésével kapcsolatban a vele jogszerűen rendelkező jogosultat felróhatóság nem terheli;
5.20. adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi;
6. AZ ADATKEZELŐ ADATAI
6.1. Az Adatkezelő adatai:
Név: Magyar Vegyipari, Energiaipari és Rokon Szakmákban Dolgozók Szakszervezeti Szövetség
Székhely: 1068 Budapest, Benczúr utca 45.
Nyilvántartási szám: 01-02-0000926
Adószám: 19002110-2-42
Adatvédelmi tisztviselő neve: dr. Horváth-Lénárt Szilvia
Elérhetőségei: 1068 Budapest, Benczúr utca 45., 06-1-4612-463, lenartsz@vdsz.hu
7. ADATKEZELŐRE ÉS ADATKEZELÉSRE VONATKOZÓ SZABÁLYOK, ALAPELVEK
7.1. Az adatvédelmi szabályok betartásáért az Adatkezelő a felelős. Az Adatkezelő szervezet, valamint a származtatott jogi személyek tisztségviselője, munkavállalója és munkatársa az adatvédelmi és adatbiztonsági szabályok betartásáért személyes felelősséggel tartozik.
7.2. Az Adatkezelő személyes adatokat csak az Infotv. 5. és 6. §-okban és a GDPR-ban meghatározott felhatalmazás alapján kezel, nevezetesen
a) az érintett hozzájárulásával, vagy
b) törvény vagy - törvény felhatalmazása alapján, az abban meghatározott körben - helyi önkormányzat rendelete közérdeken alapuló célból elrendeli.
c) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges.
d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
Személyes adat akkor is kezelhető, ha az érintett hozzájárulásának beszerzése lehetetlen vagy aránytalan költséggel járna, és a személyes adat kezelése az Adatkezelőre vonatkozó jogi kötelezettség teljesítése céljából szükséges, vagy az Adatkezelő vagy harmadik személy jogos érdekének érvényesítése céljából szükséges, és ezen érdek érvényesítése a személyes adatok védelméhez fűződő jog korlátozásával arányban áll.
Ha a személyes adat felvételére az érintett hozzájárulásával került sor, az Adatkezelő a felvett adatokat törvény eltérő rendelkezésének hiányában
a) a rá vonatkozó jogi kötelezettség teljesítése céljából, vagy
b) az Adatkezelő vagy harmadik személy jogos érdekének érvényesítése céljából, ha ezen érdek érvényesítése a személyes adatok védelméhez fűződő jog korlátozásával arányban áll
további külön hozzájárulás nélkül, valamint az érintett hozzájárulásának visszavonását követően is kezelheti.
7.3. Ha a hozzájáruláson alapuló adatkezelés célja az adatkezelővel írásban kötött szerződés végrehajtása, a szerződésnek tartalmaznia kell minden olyan információt, amelyet a személyes adatok kezelése szempontjából - e törvény alapján - az érintettnek ismernie kell, így különösen a kezelendő adatok meghatározását, az adatkezelés időtartamát, a felhasználás célját, az adatok továbbításának tényét, címzettjeit, adatfeldolgozó igénybevételének tényét. A szerződésnek félreérthetetlen módon tartalmaznia kell, hogy az érintett aláírásával hozzájárul adatainak a szerződésben meghatározottak szerinti kezeléséhez.
7.4. Az érintett kérelmére indult eljárásban, az annak lefolytatásához szükséges adatainak kezeléséhez való hozzájárulását vélelmezni kell. Erre a tényre az érintett figyelmét fel kell hívni.
7.5. Az érintett az adatkezeléshez való hozzájárulását kizárólag részletes és egyértelmű tájékoztatás birtokában adhatja meg, melyről az Adatkezelő feladata gondoskodni.
7.6. Az érintettel az adatkezelés megkezdése előtt közölni kell, hogy az adatkezelés hozzájáruláson alapul vagy kötelező. Az érintettet az adatkezelés megkezdése előtt egyértelműen és részletesen tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, arról, ha az érintett személyes adatait az adatkezelő az Infotv. 6. § (5) bekezdése alapján kezeli, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is.
Kötelező adatkezelés esetén a tájékoztatás megtörténhet az adatkezelésre vonatkozó információkat tartalmazó jogszabályi rendelkezésekre való utalás nyilvánosságra hozatalával is.
Ha az érintettek személyes tájékoztatása lehetetlen vagy aránytalan költséggel járna, a tájékoztatás megtörténhet az alábbi információk nyilvánosságra hozatalával is: az adatgyűjtés ténye, az érintettek köre, az adatgyűjtés célja, az adatkezelés időtartama, az adatok megismerésére jogosult lehetséges adatkezelők személye, az érintettek adatkezeléssel kapcsolatos jogainak és jogorvoslati lehetőségeinek ismertetése, valamint ha az adatkezelés adatvédelmi nyilvántartásba vételének van helye, az adatkezelés nyilvántartási száma.
7.7. Személyes adatot kezelni csak meghatározott célból, jog gyakorlása és kötelezettség teljesítése érdekében lehet. Az adatkezelésnek minden szakaszában meg kell felelnie e kritériumoknak, továbbá az adatok felvételének és kezelésének tisztességesnek és törvényesnek kell lennie.
7.8. Csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához elengedhetetlen, a cél elérésére alkalmas, csak a cél megvalósulásához szükséges mértékben és ideig.
7.9. Az Adatkezelő köteles gondoskodni a kezelésében lévő adatok minőségéről, így különösen azok pontosságáról, teljességéről és naprakészségéről.
7.10. Az érintettet tájékoztatni kell az adatkezeléssel kapcsolatos jogairól, jogorvoslati lehetőségeiről.
8. SZERVEZETEN BELÜLI FELADATOK ÉS FELELŐSSÉGEK s
8.1. Adatvédelmi tisztviselő
Az Adatkezelő erre jogosult vezetője a jelen Adatvédelmi Szabályzat érvényesítése érdekében kinevezi az adatvédelmi tisztviselőt.
Az adatvédelmi tisztviselő
a) elkészíti az Adatvédelmi Szabályzatot és összehangolja más szabályozásokkal;
b) felelős a személyes adatokkal összefüggő feladatok végrehajtásáért;
c) szakmai segítséget nyújt az Adatkezelő vezetőségének az adatok biztonságához szükséges szervezési intézkedések meghozatalában, eljárási szabályok kialakításában;
d) a szabályozásokat kiadás előtt véleményezi adatvédelmi szempontból;
e) az adatvédelmi ellenőrzések során ellenőrzi az Adatvédelmi Szabályzat betartását;
f) fogadja és kivizsgálja a bejelentéseket, és intézkedéseket kezdeményez az Adatkezelő vezetőségénél;
g) vezeti a belső adatvédelmi nyilvántartást;
h) tájékoztat, oktatást tart az adatvédelmi ismeretekről;
i) beszámol az Adatkezelő vezetősége részére az adatvédelemmel és adatbiztonsággal összefüggő témákban;
j) külső és belső ellenőrzések adatvédelmet érintő megállapításait értékeli és szükség esetén intézkedéseket kezdeményez az Adatkezelő vezetőségénél;
k) tevékenységét dokumentálja, megőrzi a feljegyzéseket, jelentéseket;
l) együttműködik és kapcsolatot tart a felügyeleti hatósággal.
8.2. Az adatkezelést végző személy
Az VDSZ szervezetén belül adatkezelést végző személy a tevékenységi körén belül felelős az adatok feldolgozásáért, megváltoztatásáért, törléséért, továbbításáért és nyilvánosságra hozataláért, valamint az adatok pontos, követhető dokumentálásáért.
Az adatkezelést végző személy tevékenysége során:
a) kezeli és megőrzi a feladata ellátása során birtokába került adatokat;
b) ügyel a személyes adatokat tartalmazó nyilvántartások biztonságos kezelésére és tárolására;
c) gondoskodik arról, hogy az általa kezelt adatokhoz illetéktelen személy ne férhessen hozzá;
d) betartja az adatkezelésre vonatkozó jogszabályokat és belső utasításokat;
e) haladéktalanul jelzi vezetője felé, amennyiben az adatvédelmi ügyben a felettes vagy a belső adatvédelmi felelős segítségére szorul;
f) részt vesz az adatkezeléssel, adatvédelemmel összefüggő oktatásokon.
Aki üzleti titok, illetve személyes adat birtokába jut, köteles a titkot időbeli korlátozás nélkül megtartani.
Az üzleti titkot, személyes adatot – a Munka Törvénykönyve vonatkozó előírásait is figyelembe véve - nem lehet visszaélésszerűen felhasználni, így különösen tilos az érdekvédelmi, érdekképviseleti célon kívül a tag saját vagy más személyes céljainak, közvetlen vagy közvetett előnyök elérésére, valamint az Adatkezelő vagy tagjainak megkárosítására használni.
Az Adatvédelmi tisztviselő neve: dr. Horváth-Lénárt Szilvia
Elérhetőségei: 1068 Budapest, Benczúr utca 45., 06-1-4612-463, lenartsz@vdsz.hu
9. AZ ADATOK TÁROLÁSA, BIZTONSÁGA
9.1. A kezelt adatokat úgy kell tárolni, hogy azokhoz illetéktelenek – ideértve azon munkavállalókat és munkatársakat is, akik nem jogosultak ezen adatok megismerésére, kezelésére – ne férhessenek hozzá. Papír alapú adathordozók esetében a fizikai tárolás, irattárazás rendjének kialakításával, elektronikus formában kezelt adatok esetén központi jogosultságkezelő rendszer alkalmazásával.
9.2. Az adatok informatikai módszerrel történő tárolási módját úgy kell megválasztani, hogy azok törlése – az esetleg eltérő törlési határidőre is tekintettel – az adattörlési határidő lejártakor, illetve, ha az egyéb okból szükséges, elvégezhető legyen. A törlésnek visszaállíthatatlannak kell lennie.
9.3. A papír alapú adathordozókat iratmegsemmisítő segítségével, vagy külső, iratmegsemmisítésre szakosodott vállalkozó igénybevételével kell a személyes adatoktól megfosztani. Elektronikus adathordozók (merevlemezek, optikai adathordozók, mágneses adathordozók, nyomtatók, multifunkciós gépek háttértárai, flash (NAND) adathordozók, SIM kártyák, mobileszközök, telefonok, PDA-k, Tablet-ek, laptopok, stb.) esetében az elektronikus adathordozók selejtezésére vonatkozó szabályok szerint kell gondoskodni a fizikai megsemmisítésről, illetve szükség szerint előzetesen az adatoknak a biztonságos és visszaállíthatatlan törléséről. Az adathordozók megsemmisítését ellenőrizni, dokumentálni kell, valamint a dokumentációt visszakereshető módon kell megőrizni, illetve selejtezni.
10. ADATVÉDELMI NYILVÁNTARTÁS
10.1. A VDSZ központi szervezete nyilvántartja az alábbi adatokat:
a) adatkezelő neve és elérhetősége;
b) az adatkezelés célja
c) az adatkezelés várható időtartama, ha lehetséges meghatározni, a törlés dátuma
d) az érintettek és személyes adatainak kategóriái
e) olyan címzettek, akiknek a személyes adatokat közlik, vagy közölni fogják;
f) biztonsági, szervezési, technikai intézkedéseket
g) az adatfeldolgozók neve, elérhetőségei
h) az adatkezelési tevékenységek leírása.
10.2. A VDSZ és önálló jogi személyiségű szervezeti egységeinek tisztségviselői, az adatkezelésre jogosult munkavállalói, munkatársai megkeresés alapján a hatóságok rendelkezésére bocsátja a nyilvántartást.
11. AZ ADATOK FELHASZNÁLÁSA
11.1. Az VDSZ által kezelt adatok kizárólag az Info tv., az Mt. és más jogszabályok rendelkezéseinek megfelelően, illetve az aktuális Adatkezelési Tájékoztatóban meghatározott célokra használhatók fel.
11.2. Az VDSZ által kezelt személyes adatok nyilvánosságra hozatala tilos, kivéve, ha azt törvény rendeli el.
Az előző pontban foglalt tilalom nem érinti az Adatkezelőről szóló statisztikai adatokat, melyek korlátozás nélkül nyilvánosságra hozhatók.
12. AZ ADATOK FELDOLGOZÁSA
12.1. A személyes adatokon technikai műveletet az Adatkezelő és származtatott jogi személyeinek tisztségviselője, annak tagnyilvántartást vezető munkavállalója, munkatársa adatfeldolgozóként az érintett hozzájárulása nélkül is végrehajthat, amennyiben tevékenysége során önálló érdemi döntést nem hoz.
12.2. Az VDSZ harmadik személy kezelésében lévő személyes adatokon – amennyiben e tevékenysége során érdemi döntési jogkörrel nem rendelkezik – adatfeldolgozóként az érintett hozzájárulása nélkül is végezhet technikai műveleteket.
12.3. Az Adatkezelő köteles az érintetteket tájékoztatni – lehetőleg már az adatfelvételkor – az igénybe vett adatfeldolgozók személyéről.
12.4. Az adatfeldolgozásra vonatkozó megbízást írásba kell foglalni. A szerződésnek a következő elemeket kell tartalmaznia:
a) az adatkezelő és az adatfeldolgozó megnevezését;
b) az adatfeldolgozási tevékenység megnevezését;
c) az átadandó személyes adatok körét;
d) automatizált adatfeldolgozás esetén az alkalmazott módszert és lényegét;
e) az adatkezelő szavatolását az adatbázis, az átadott személyes adatok jogszerű kezeléséért;
f) az adatfeldolgozó nyilatkozatát, hogy kizárólag az adatkezelő utasítása alapján végzi az adatok feldolgozását;
g) az adatfeldolgozónak a saját és a szerződésben foglaltaktól eltérő célú adatfelhasználásának tilalmát;
h) azt az előírást, hogy az adatfeldolgozó tevékenysége ellátása során más adatfeldolgozót az adatkezelő rendelkezése szerint vehet igénybe;
i) az adatfeldolgozó kötelezettségvállalását az adatbiztonsági szabályok megtartására;
j) az adatok sorsára vonatkozó rendelkezést a szerződés megszűnésének eseteire;
12.5. Az adatfeldolgozó részére csak olyan személyes adatok adhatók át, amelyek szerepelnek
a) az adatfeldolgozói szerződésben,
b) vagy a konkrét adatkezelésre vonatkozó tájékoztatásban.
12.6. Az adatfeldolgozói feladat teljesítését követően, illetve a szerződés megszűnésekor az adatfeldolgozó a birtokában lévő személyes adatokat vissza kell, hogy szolgáltassa az Adatkezelőnek. Az átadott adatok adatfeldolgozó számítástechnikai rendszerében található másolatait pedig visszavonhatatlan módon töröltetni kell, melynek megtörténtéről az adatfeldolgozónak nyilatkoznia kell.
13. ADATVÉDELMI HATÁSVIZSGÁLAT
13.1. Ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa –, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az Adatkezelő az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Adatvédelmi hatásvizsgálatot különösen abban az esetben kell elvégezni, ha a személyes adatok különleges kategóriái, így a szakszervezeti tagságra utaló személyes adatok nagy számban történő kezelésére kerül sor. Mivel a VDSZ nagy számban kezel szakszervezeti tagságra utaló személyes adatokat (különleges adat), adatvédelmi hatásvizsgálatot köteles elvégezni ezen adatokra vonatkozóan elvégezni.
13.2. A hatásvizsgálat kiterjed legalább:
a) a tervezett adatkezelési műveletek módszeres leírására és az adatkezelés céljainak ismertetésére, beleértve adott esetben az adatkezelő által érvényesíteni kívánt jogos érdeket;
b) az adatkezelés céljaira figyelemmel az adatkezelési műveletek szükségességi és arányossági vizsgálatára;
c) az érintett jogait és szabadságait érintő kockázatok vizsgálatára; és
d) a kockázatok kezelését célzó intézkedések bemutatására, ideértve a személyes adatok védelmét és az e rendelettel való összhang igazolását szolgáló, az érintettek és más személyek jogait és jogos érdekeit figyelembe vevő garanciákat, biztonsági intézkedéseket és mechanizmusokat.
13.3. A hatásvizsgálatot a VDSZ és származtatott jogi személyeinek tisztségviselői és az adatvédelmi tisztviselő készítik el.
14. ADATTOVÁBBÍTÁS, HATÓSÁGI ADATSZOLGÁLTATÁS
14.1. Személyes adatot Magyarországon belül, illetve EGT-államba továbbítani csak a jelen Szabályzat 7. fejezetében meghatározott valamely jogalap alapján lehet.
14.2. EGT-államba történő adattovábbítást úgy kell tekinteni, mintha az adattovábbításra Magyarország területén került volna sor.
14.3. EGT-államon kívüli országban lévő adatkezelő vagy adatfeldolgozó részére személyes adatot átadni, hozzáférhetővé tenni csak akkor lehet, ha
a) ahhoz az érintett kifejezetten hozzájárult; vagy
b) az adatkezelés jogalapja a jelen Szabályzat 7. fejezetében meghatározott módon biztosított, és a harmadik országban az adatok kezelése és feldolgozása során garantált a személyes adatok megfelelő szintű védelme.
A személyes adatok megfelelő szintű védelme akkor garantált a célországban, ha
a) az Európai Unió kötelező jogi aktusa azt megállapítja, vagy
b) a harmadik ország és Magyarország között az adatkezelés, illetve az adatfeldolgozás garanciális szabályait tartalmazó nemzetközi szerződés van hatályban.
15. ADATTOVÁBBÍTÁSI NYILVÁNTARTÁS
15.1. Az Adatkezelő a kezelt személyes adat továbbításáról nyilvántartást vezet, amely tartalmazza:
a) az adattovábbítás célját, jogalapját, időpontját;
b) az adatigénylő és az érintett azonosításához szükséges adatokat;
c) a továbbított adatfajták megnevezését.
15.2. Az adattovábbítási nyilvántartásba betekinthet, abból adatot igényelhet:
a) az adatvédelmi hatóság, a bíróság, nyomozó hatóság, a nemzetbiztonsági szerv, törvényben meghatározott feladatai ellátásához;
b) az Adatkezelő szervezet vezetője, vagy az általa meghatalmazott személy, továbbá az adatvédelmi tisztviselő;
c) saját adatai tekintetében az érintett, ha a tájékoztatás jogát törvény nem zárja ki.
15.3. Az adattovábbítási nyilvántartásba való betekintést, az abból történő adattovábbítást dokumentálni kell.
15.4. Az adattovábbítási nyilvántartás vezetési kötelezettségének a következő módokon is eleget lehet tenni: a) elektronikus úton történt adattovábbítás naplózásával, b) postai úton történt feladás dokumentálásával, c) az ügyfél aktájában történő nyilvántartással.
16. AZ ÉRINTETT TÁJÉKOZTATÁSHOZ, HOZZÁFÉRÉSHEZ VALÓ JOGA
16.1. Az érintett az adatkezelés ideje alatt az Adatkezelőtől tájékoztatást kérhet személyes adatai kezeléséről, valamint azokba betekintést nyerhet. E jogát oly módon kell biztosítani, hogy az érintett más személy adatait ne ismerhesse meg.
16.2. Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a) az adatkezelőnek és az adatkezelő képviselőjének a kiléte és elérhetőségei;
b) az adatvédelmi tisztviselő elérhetőségei,
c) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái,
e) adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat
f) a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;
g) az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
h) hozzájáruláson alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
i) a felügyeleti hatósághoz címzett panasz benyújtásának jogáról;
j) arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele-e, valamint, hogy az érintett köteles-e a személyes adatokat megadni, továbbá, hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;
k) az automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.
16.3. Amennyiben az érintett a rá vonatkozó, vele kapcsolatos, az ő személyes adatait tartalmazó bármilyen formátumú adathordozón tárolt adatokról kér másolatot, úgy ezt a tájékoztatáshoz való joga gyakorlásaként kell értékelni, és az adatairól a másolatot számára ki kell adni.
16.4. A tájékoztatást (a másolat kiadását) a kérelem benyújtásától számított legrövidebb idő alatt, de legfeljebb 30 napon belül, közérthető formában kell teljesíteni. Amennyiben az érintett úgy rendelkezik, a tájékoztatást írásban kell megadni.
16.5. A tájékoztatás megadása, a másolat készítése, és ezek továbbítása ingyenes, ha folyó évben azonos adatkörre vonatkozóan az érintett még nem nyújtott be tájékoztatási kérelmet. Egyéb esetben költségtérítés kérhető, melynek összegéről a felek szerződésben is rendelkezhetnek.
16.6. A tájékoztatást az Adatkezelő a következő esetekben tagadhatja meg:
a) az érintett nem a saját adataira vonatkozóan kér tájékoztatást;
b) a tájékoztatást kérő személy nem tudja hitelt érdemlő módon igazolni, hogy ő lenne az adatkezeléssel érintett személy;
c) amennyiben törvény a tájékoztatást kizárja;
d) ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusa rendelkezése alapján az Adatkezelő az adatokat egy másik adatkezelőtől akként veszi át, hogy az adatokat átadó adatkezelő jelezte az érintett tájékoztatási jogának korlátozását.
A felvilágosítás megtagadása esetén tájékoztatni kell az érintettet a bírósághoz és az adatvédelmi hatósághoz fordulás jogáról. Ezen felül a folyó évet követő január 31-éig tájékoztatni kell a Nemzeti Adatvédelmi és Információszabadság Hatóságot az elutasított kérelmekről.
17. AZ ÉRINTETT HOZZÁFÉRÉSHEZ VALÓ JOGA
17.1. Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:
a) az adatkezelés céljai;
b) az érintett személyes adatok kategóriái;
c) azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;
d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
e) az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;
f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
g) ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
h) az automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.
17.2. Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. A másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.
18. A SZEMÉLYES ADATOK TÖRLÉSE, HELYESBÍTÉSE, ZÁROLÁSA
18.1. Az adatokat törölni - manuális nyilvántartás esetén megsemmisíteni - kell, ha
a) az adatkezelésre a tájékoztatóban, illetve jogszabályban előírt határidő eltelt;
b) az adatkezelés jogszerűtlensége megállapítást nyert;
c) az érintett hozzájárulását visszavonta, kivéve, ha törvény az adatok további kezelését lehetővé teszi;
d) az adat hiányos vagy téves, és ez az állapot jogszerűen nem orvosolható – feltéve, hogy törvény a törlést nem zárja ki;
e) az adatkezelés célja megszűnt;
f) az adatvédelmi hatóság vagy bíróság jogerős határozattal elrendelte.
18.2. Törlés helyett zárolni kell az adatot, ha az érintett ezt kéri, vagy ha a törlés sértené az érintett jogos érdekeit. Amennyiben az adatkezelés célja megszűnt, a zárolt adat törlendő. A zárolást oly módon kell megvalósítani, hogy az adatkezelést egyébként munkaköri kötelezettségeként végző személy, illetve az ugyanezen célból hozzáféréssel rendelkező személy ne férhessen hozzá a zárolt személyes adatokhoz. A zárolt személyes adatokhoz kizárólag az adatok technikai tárolását végző személy férhessen hozzá, a zárolás feloldása vagy a zárolt adat törlése céljából.
18.3. Az érintett bejelentése vagy az Adatkezelő által észlelt hibás adat esetén – a rendelkezésre álló dokumentumok vagy közhiteles nyilvántartás alapján, illetve az érintettel történt egyeztetést követően – az Adatkezelő a hibás adatot helyesbíti.
18.4. Ha a hibás adat nem helyesbíthető, akkor törölni kell. Amennyiben a törlés vagy a helyesbítés az adatok tárolási módja miatt nem lehetséges, akkor az adatot megfelelő helyesbítő vagy figyelemfelhívó feljegyzés hozzáfűzésével véglegesen zárolni kell.
18.5. Ha az adat hibás volta annak továbbítása után derül ki, akkor ennek tényéről, illetve - amennyiben a hibás adatot az Adatkezelő kijavította - a helyes adatról mindazokat tájékoztatni kell, akiknek az adatot továbbították. A tájékoztatási kötelezettség az adatok zárolása és törlése esetén is fennáll.
18.6. A tájékoztatás mellőzhető, ha ez az adat jellegére, az adatkezelés céljára, az időmúlásra, illetve az adatkezeléssel összefüggő más körülményeire tekintettel az érintett, illetve a korábbi adattovábbítás címzettjének jogos érdekét nem sérti.
18.7. Az érintett e fejezetben tárgyalt jogainak gyakorlása esetén az Adatkezelő 30 napon belül köteles az ügyet elintézni.
19. TILTAKOZÁS A SZEMÉLYES ADATOK KEZELÉSE ELLEN
19.1. Az érintett személy tiltakozhat a személyes adatai kezelése ellen,
a) ha a személyes adatok kezelése vagy továbbítása kizárólag az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez vagy az adatkezelő, adatátvevő vagy harmadik személy jogos érdekének érvényesítéséhez szükséges, kivéve kötelező adatkezelés esetén;
b) ha a személyes adat felhasználása vagy továbbítása közvetlen üzletszerzés, közvélemény-kutatás vagy tudományos kutatás céljára történik; valamint
c) törvényben meghatározott egyéb esetben.
19.2. Tiltakozását szóban, írásban és elektronikus úton is kifejezheti.
19.3. A tiltakozási kérelmet haladéktalanul, de legfeljebb 15 napon belül ki kell vizsgálni. Az Adatkezelő döntéséről a kérelmezőt írásban tájékoztatja.
19.4. Ha az Adatkezelő egyetért a tiltakozási kérelemmel, az adatkezelést megszünteti, az adatokat zárolja, és a tiltakozásról, illetve intézkedéséről értesíti mindazokat, akik részére korábban az adatokat továbbította, és egyben intézkedésre kötelesek a tiltakozási jog érvényesítése érdekében.
20. AZ ADATKEZELÉS KORLÁTOZÁSÁHOZ VALÓ JOG
20.1. Az érintett jogosult arra, hogy kérésére az Adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:
a) az érintett vitatja a személyes adatok pontosságát,
b) az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
c) az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy
20.2. Ha az adatkezelés a fentiek alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni. Az adatkezelő az érintettet, akinek a kérésére a fentiek alapján korlátozták az adatkezelést, az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja.
21. AZ ADATHORDOZHATÓSÁGHOZ VALÓ JOG%
21.1. Az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a személyes adatokat a rendelkezésére bocsátotta, ha:
a) az adatkezelés hozzájáruláson vagy szerződésen alapul; és
b) az adatkezelés automatizált módon történik.
21.2. Az adatok hordozhatóságához való jog gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.
22. A SZAKSZERVEZET ÁLTAL KEZELT ADATOK BIZTONSÁGA
22.1. A jelen Szabályzatban nem szabályozott adatbiztonsági kérdések tekintetében a jelen Szabályzat 4.2. pontjában található szabályzat az irányadó.
22.2. Az Adatvédelmi Szabályzat alapvető rendeltetése a személyes adatok és az üzleti titkok megismerhetőségének korlátozására vonatkozó szabályok kialakítása, illetve ezen adatok illetéktelen személyek általi megismerhetőségének megakadályozása.
22.3. A fenti cél elérése érdekében az adatkezelések során - az adatkezelés jellegétől függően - az információ-rendszerek következő védelmi módszereit kell alkalmazni:
a) Ügyviteli védelem: az adatkezelő rendszerek felelőseinek és az adatkezeléssel kapcsolatos tevékenységnek szervezési és adminisztratív módon történő nyomon követése, a felelősség körülhatárolása. Kiterjed az informatikai és más adatkezelő rendszerekre és azok szolgáltatásaira, valamint az adathordozók kezelésére, beleértve a hozzáférési jogosultság és a betekintés dokumentálását is.
b) Fizikai védelem: olyan eszközök alkalmazása, amelyekkel azok a helyiségek védhetők, ahol számítástechnikai erőforrásokat használnak, vagy az adatmegőrzés szempontjából fontosak. Az információs rendszer minősítésétől függő védelemben kell részesíteni az adathordozókat is.
22.4. Az Adatkezelő köteles az adatkezelési műveleteket úgy megtervezni és végrehajtani, hogy az biztosítsa az érintettek magánszférájának védelmét.
22.5. Az Adatkezelő köteles gondoskodni az adatok biztonságáról, és megtenni azokat a technikai és szervezési intézkedéseket, amelyek az adat- és titokvédelmi szabályok érvényre juttatásához szükségesek. Az Adatkezelőnek a fenti szabályok érvényesülését kell szem előtt tartaniuk az eljárási szabályok kialakítása során is.
22.6. Az adatokat megfelelő intézkedésekkel védeni kell különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés, továbbá az alkalmazott technika megváltozásából fakadó hozzáférhetetlenné válás ellen.
22.7. A különböző nyilvántartásokban elektronikusan kezelt adatállományok védelme érdekében biztosítani kell, hogy e külön nyilvántartásokban tárolt adatok – kivéve, ha azt törvény lehetővé teszi - közvetlenül ne legyenek összekapcsolhatók és az érintetthez rendelhetők.
23. MANUÁLIS KEZELÉSŰ ADATOK
23.1. A manuális kezelésű személyes adatok biztonsága érdekében az alábbi intézkedéseket kell foganatosítani:
a) Az irattári kezelésbe vett iratokat jól zárható, száraz, tűzvédelmi és vagyonvédelmi berendezéssel ellátott helyiségben kell elhelyezni.
b) A folyamatos aktív kezelésben lévő iratokhoz csak az illetékes ügyintézők férhetnek hozzá.
c) A manuális kezelésű iratok archiválását rendszeres időközönként el kell végezni, és a meghatározott adatkezelési határidő elteltével haladéktalanul át kell adni megsemmisítésre.
24. MUNKATÁRSI ADATBIZTONSÁGI KÖTELEZETTSÉGEK
24.1. Aki a személyes adat és az üzleti titkot képező adat megismerésére jogosult:
a) köteles a személyes adatok és üzleti titok védelmére vonatkozó rendelkezéseket, valamint a jelen Szabályzatban meghatározott előírásokat megismerni, valamint ezen előírásokat alkalmazni;
b) a tudomására jutott személyes adatot és üzleti titkot az érvényességi időn belül illetéktelen személynek át nem adhatja, illetve nem hozhatja illetéktelen tudomására vagy nyilvánosságra (titoktartási kötelezettség);
c) köteles a hozzáférési jog megszűnésekor – ideértve a munkaviszony megszűnésének eseteit is – az üzleti titokká minősített adatot és személyes adatot tartalmazó minden nála lévő adathordozót az VDSZ-nek, mint az adattal rendelkező jogosultnak, illetve Adatkezelőnek haladéktalanul átadni.
24.2. Személyhez fűződő jogokat sért [új Ptk. 2:46. §], aki üzleti titok birtokába jut, és azt jogosulatlanul nyilvánosságra hozza vagy azzal egyéb módon visszaél.
24.3. Üzleti titok tisztességtelen módon való megszerzésének minősül az is, ha az üzleti titkot a jogosult hozzájárulása nélkül, a vele - a titok megszerzése idején vagy azt megelőzően – bizalmi viszonyban (így különösen a munkaviszony és a munkavégzésre irányuló egyéb jogviszony) vagy üzleti kapcsolatban álló személy közreműködésével szerezték meg.
25. TITOKTARTÁSI KÖTELEZETTSÉG
25.1. Az VDSZ tisztségviselője, munkavállalója, munkatársai és a szakszervezet nevében, érdekében eljáró személyek kötelesek jelen Adatvédelmi Szabályzat, továbbá a hatályos jogszabályok szerint a rájuk bízott, illetve tudomásukra jutott személyes adatokat és üzleti titkokat időbeli korlátozás nélkül megőrizni. A munkavállalók kizárólag a munkaköri leírásban meghatározott feladatkörükön belül ismerhetik meg az ilyen adatokat. E titoktartás nem terjed ki a közérdekű adatok nyilvánosságára és a közérdekből nyilvános adatra vonatkozó, külön törvényben meghatározott adatszolgáltatási és tájékoztatási kötelezettségre.
25.2. Az adatbiztonság személyi feltételeinek kialakítása tekintetében a szervezeti rendszer minden tagját, aki feladatai ellátása során személyes adatot vagy üzleti titkot kezel, megfelelő felkészítésben, oktatásban kell részesíteni.
25.3. Minden személyes adatot, üzleti titkot tartalmazó rendszerhez való hozzáférésre feljogosított munkavállaló köteles titoktartási kötelezettség vállalást tenni. A kötelezettség vállalásban nyilatkozni kell arról, hogy a munkavállaló jelen Adatvédelmi és Adatbiztonsági Szabályzat rendelkezéseit megismerte, azokat magára nézve kötelezőként elismeri, a szükséges titokvédelmi ismereteket elsajátította, valamint a személyes adatok védelméhez fűződő jog és az üzleti titok megsértésének mind büntetőjogi, mind polgári jogi következményeivel tisztában van.
26. ADATVÉDELMI INCIDENS
26.1. Az adatvédelmi incidenst az Adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti a NAIH-nak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.
26.2. Az Adatkezelő bármely munkatársa adatvédelmi incidens észlelése vagy annak gyanúja esetén haladéktalanul értesíti a szakszervezet tisztségviselőjét valamint az adatvédelmi tisztviselőt. Az adatvédelmi tisztviselő haladéktalanul kivizsgálja az esetet, megállapítja, hogy történt-e adatvédelmi incidens. Döntést hoz arról, hogy szükséges-e bejelentést tenni a NAIH felé, valamint értesíteni kell-e az érintetteket.
26.3. A bejelentésben legalább:
a) ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát;
b) közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit;
c) ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;
d) ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.
26.4. Az Adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy a NAIH ellenőrizze az fenti követelményeknek való megfelelést.
26.5. Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről. Az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább az incidenssel kapcsolatos információkat és intézkedéseket.
26.6. Az érintettet nem kell tájékoztatni, ha a következő feltételek bármelyike teljesül:
a) az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;
b) az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;
c) a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.
27. NEVESÍTETT ADATKEZELÉSEK
27.1. Szakszervezeti tagság:
- Az adatkezelés jogalapja: írásbeli önkéntes hozzájárulás (belépési nyilatkozat)
- Célja: a szakszervezet kollektív és egyéni érdekvédelmi, érdekképviseleti tevékenysége (képviselet, tájékoztatás)
- Az adatok köre: név, lakcím, születési hely, születési év, anyja neve, telefonszám, e-mail cím, munkaterület/munkahely, törzsszám, leánykori név
- Időtartama: tagság fennállása
- Az adatkezelők köre: tisztségviselő, VDSZ munkavállaló
27.2. Tagnyilvántartás:
- Az adatkezelés jogalapja: írásbeli önkéntes hozzájárulás (belépési nyilatkozat)
- Célja: a szakszervezet kollektív és egyéni érdekvédelmi, érdekképviseleti tevékenysége (képviselet, tájékoztatás)
- Az adatok köre: név, lakcím, születési hely, születési év, anyja neve, telefonszám, e-mail cím, munkaterület/munkahely, törzsszám, leánykori név, lakcím, tagsági kártya száma
- Időtartama: tagság fennállása
- Az adatkezelők köre: tisztségviselő, VDSZ munkavállaló
27.3. Szolgáltatások nyújtása
- Az adatkezelés jogalapja: írásbeli önkéntes hozzájárulás (belépési nyilatkozat)
- Célja: szakszervezet szolgáltató partnerei által nyújtott biztosítás, szolgáltatási és áruvásárlási kedvezmény.
- Az adatok köre: név, tagkártya száma, belépés dátuma
- Időtartam: tagság fennállásáig
- Az adatkezelők köre: a VDSZ vezető tisztségviselői, adatkezelésre jogosult munkavállalói
27.4. Munkaügyi adatok:
A VDSZ, mint munkáltató köteles a munkaviszony létesítésekor tájékoztatni a munkavállalókat arról, hogy milyen személyes adatokat kezel a munkaviszony fenntartása érdekében és azokat meddig kezeli.
- A munkaügyi nyilvántartás jogalapja: érintett munkavállaló hozzájárulása vagy amely a munkaviszony létrehozásához, fenntartásához vagy megszüntetéséhez szükséges és jogszabály az adatkezelést előírja.
- Az adatok köre: név, cím, telefonszám, e-mail cím, születési hely, idő, anyja neve, születési név, adóazonosító jel, TAJ-szám, személyi igazolvány szám, személyi szám, gyermekek neve, születési ideje, helye, TAJ-száma, adóazonosító jele, házastárs neve, adóazonosító jele, iskolai végzettség
- Időtartama: jogszabályi előírások alapján, archiválva
- Az adatkezelők köre: VDSZ vezető tisztségviselő, VDSZ adatkezelésre jogosult munkavállalója
27.5. Kamerarendszer:
A VDSZ központi irodája élet- és vagyonbiztonság érdekében a 1068 Budapest, Benczúr utca 45. szám alatt, a bejáratnál és a székház előterében, portás helyiségénél kamerás megfigyelést folytat. A VDSZ saját szervezete, tagjai, munkavállalói, bérlői, a székházban lévő szolgáltatásokat igénybe vevői jogos érdeke védelmében képmás készítésére alkalmas rendszert működtet, tájékoztatni kell ezen személyeket az adatkezelés jogalapjáról, céljáról, a felvétel tárolási helyéről, időtartamáról, a felvétel megismerésére jogosult személyekről, az érintettek jogairól. A kamerahasználatot piktogrammal és a székházban hozzáférhető rövid tájékoztatóval kell jelezni minden érintett számára.
- A székház bejáratánál 2 kamerát működtet az Adatkezelő, mely az épület garázsának és bejáratának figyelemmel kísérését végzi. Ezen felvételek nem kerülnek rögzítésre.
- Az épület belső előterében, valamint a portás helyiségnél szintén 1-1 kamera működik. Ezen felvételeket az Adatkezelő által működtetett rendszer 24 órai időtartamban rögzíti, majd automatikusan törli.
- A kamerafelvételeket a kizárólag a VDSZ tisztségviselői valamint a biztonsági őrök tekinthetik meg.
27.6. Bérleti tevékenység
A VDSZ 1068 Budapest, Benczúr utca 45. szám alatti székházában lehetőség van természetes személyek számára iroda, illetve előadóterem bérlésére.
- Az adatkezelés jogalapja: bérleti szerződés
- Célja: a bérleti szerződésben foglaltak teljesülése
- Az adatok köre: név, cím, elérhetőségek, adóazonosító jel
- Időtartam: bérleti szerződés fennállta
- Az adatkezelők köre: VDSZ tisztségviselői, adatkezelésre jogosult munkavállalók
27.7. Rendezvények
A VDSZ és származtatott jogi személyiségű szervezetei által szervezett rendezvényein készült kép- és hangfelvételek, melyek nem egyedi ábrázolásnak, hanem tömegfelvételnek minősülnek, a VDSZ közzé teheti bárki számára honlapján, közösségi felületén, képfelvételeit digitális és nyomtatott kiadványaiban megjeleníti. Minden más esetben – ahol egyedi ábrázolás történik – kizárólag az érintettek kifejezett és előzetes hozzájárulásával lehetséges kép- és hangfelvételek készítése, közzététele.
- A VDSZ egyes rendezvényeire történő jelentkezéskor a részvétel érdekében az alábbi adatokat kezeli: név, e-mail cím, telefonszám, szervezet neve
- Időtartam: a rendezvény végeztéig, esetenként a rendezvényen elhangzott előadások, különböző anyagok, dokumentációk elküldéséig.
- Az adatkezelők köre: VDSZ tisztségviselői, adatkezelésre jogosult munkavállalók
27.8. Címjegyzék/Hírlevél
A VDSZ tagjai számára közvetlenül küld e-mail tájékoztatókat, melynek célja a tagság tájékoztatása az érdekvédelmi eseményekről, valamint szolgáltatási akciókról. Az elektronikus levelet kizárólag azon tagok részére szabad elküldeni, akik belépési nyilatkozatukban vagy a VDSZ online felületén, weboldalán megadták e-mail elérhetőségüket (önkéntes hozzájárulás).
Ha a tag e-mail címének használatára vonatkozó hozzájárulását visszavonja, részére a továbbiakban elektronikus levél nem küldhető.
27.8 Üdülés
A VDSZ saját tulajdonú balatonszemesi és balatonvilágosi üdülőjében tagjai, munkavállalói és más természetes személyek számára üdülési tevékenységet folytat.
A szobafoglalás során az érintettek a következő adataikat közlik: név, lakcím, telefonszám, e-mail cím, tagkártyaszám
- Az adatkezelés jogalapja: önkéntes hozzájárulás:
- Az adatkezelés időtartama: az üdülés végéig
- Az adatkezelők köre: VDSZ tisztségviselői, adatkezelésre jogosult munkavállalók
