ADATKEZELÉSI TÁJÉKOZTATÓ

a COVID-19 vírus hatására kihirdetett veszélyhelyzet fennállása alatt a digitális távoktatás keretében létrehozott online számonkérési felület működtetése által gyűjtött személyes adatok kezelésével kapcsolatos adatkezelési szabályokról

Hatályos: 2021. március 8. napjától

Az adatkezelő (a köznevelési intézmény neve: Vácdukai Benedek Elek Általános Iskola, székhelye: 2167 Vácduka, Ifjúság utca 2.) a COVID-19 vírus hatására kihirdetett veszélyhelyzet fennállása alatt a digitális távoktatás keretében online számonkérési felületet működtet annak érdekében, hogy a köznevelési kötelezettségének folytonosságát (ezen belül különösen a számonkérést, a teljesítményellenőrzést) biztosítani tudja.

A digitális távoktatás keretében jelenleg bevezetett tanulási-tanítási, valamint számonkérési formák a következők:

1. a diákok számonkérése oly módon, hogy az előírt feladatot hangfelvétel formájában a pedagógus számára kell megküldeni;
2. a diákok számonkérése oly módon, hogy az előírt feladatot videófelvétel formájában a pedagógus számára kell megküldeni;
3. a diákok számonkérése oly módon, hogy a pedagógus és a diák video-chat keretében élő beszélgetést folytat kép és hang együttes közvetítésével vagy kizárólag a hang közvetítésével (ún. online felelés);
4. a diákok számonkérése oly módon, hogy az előírt feladatot fénykép vagy rögzített kép formájában a pedagógus számára kell megküldeni;
5. a diákok számonkérése oly módon, hogy az előírt feladatot – Word, PDF vagy JPG formátumban, előzetesen meghatározott terjedelemben és szempontok alapján kidolgozva – az írásbeli feladatok formai követelményei szerint a pedagógus számára kell megküldeni.

A fenti formákban megvalósuló számonkérés, illetve teljesítményértékelés kizárólag az adatkezelő oktatási intézmény által kifejezetten e célra létrehozott intézményi online felületeken lehetséges, melyet  a Google Suite for Education platform intézményi felülete biztosít. E felületek nem nyilvánosak, a feltöltött anyagot kizárólag csak a pedagógus éri el, a feltöltött anyag letöltése céljából. Az adatkezelő oktatási intézmény az intézményi felületeken számára elérhető személyes adatokat jellemzően kifejezetten rövid ideig kezeli. Az adatkezelési időtartam részletei alul, a táblázatban találhatóak meg.

A diákok feladata az, hogy a hangfelvételt, vagy a videófelvételt ezen intézményi felületek valamelyikén – a számukra létrehozott felhasználói fiókba – feltöltsék. A tanulók más platformot, internetes felületet nem használhatnak, a feladatokat hang- vagy videófelvétel formájában nem küldhetik meg e-mailben, hasonlóképpen nem tölthetik fel a Youtube vagy más videómegosztó felületére. A pedagógus számára csak az előző bekezdésben említett két platform intézményi felületén lehetséges a feladatok teljesítése, ellenkező esetben a pedagógus joggal tekinti úgy, hogy a diák a feladatot nem teljesítette. Egyéb platformok, illetve emailcímek használata mellőzésének adatvédelmi szempontból is jelentősége van.

Tájékoztatjuk az érintetteket arról is, hogy az intézményi KRÉTA felületet az Adatkezelő kizárólag az intézményi adminisztrációra használja, azaz a tanmenetben való haladás rögzítésére, valamint a tanulói házifeladatok megjelölésére, illetve a szülők tájékoztatása és az adminisztratív kötelességek teljesítése céljából.

Amennyiben a diák és a pedagógus között élő chat formájában ún. online felelés kezdődik, az hasonlóképpen e két intézményi felületen történhet csak meg.  

Az adatkezelő felkéri arra a diákokat (és a felvételek elkészítésében és megküldésében esetlegesen segítő szülői felügyeletet gyakorlókat), hogy amennyiben valamilyen gyakorlati feladatról videófelvétel készül, azon ne szerepeljen a tanulón kívül más személy, és az otthoni, privát térből, környezetéből is minél kevesebb látszódjon.

Felhívjuk továbbá a diákok, illetve a szülői felügyeletet gyakorló személy figyelmét arra, hogy nem csupán a diákok személyes adatait (pl: kép, hang), hanem a pedagógusok személyes adatait is védi a jog. A pedagógusok személyes adatainak másokkal történő megosztása (pl:Facebook, Youtube stb. oldalakon) jogszabálysértésnek minősülhet, és így szankcióval járhat.

Rámutatunk arra, hogy egyedi, indokolt kérelem alapján – ha igazolható, hogy az elektronikus kapcsolattartás az érintetti oldalon nem biztosított – az online számonkérési felület kötelező használata alól mentesül a tanuló; de ebben az esetben a hagyományos papír alapú tankönyvi feladatok kerülnek kézbesítésre, postai vagy személyes úton. E tanítási-tanulási módozat esetén az adatkezelés szabályai az Adatkezelő SZMSZ-ében kerülnek rögzítésre, kérjük, hogy érintettként olvassa el a rá vonatkozó rendelkezéseket.

A digitális távoktatás keretében létrehozott online számonkérési felület működtetése által megvalósuló személyes adatok kezelése az alábbiak szerint történik meg:

AZ ADATKEZELÉSRE VONATKOZÓ FONTOSABB JOGSZABÁLYOK:

- Általános Adatvédelmi Rendelet: 2016/679. számú rendelet (GDPR);

- Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII.tv. (Infotv.);

- A nemzeti köznevelésről szóló 2011. évi CXC. törvény;

- A köznevelési és szakképzési intézményekben új munkarend bevezetéséről szóló 1102/2020. (III.14) Korm. határozat.

A hatályos jogszabályokat elérheti ingyenesen a Nemzeti Jogszabálytárban (www.njt.hu), illetve az Európai Bizottság honlapján keresztül (https://eur-lex.europa.eu/legal-content/HU/TXT/HTML/?uri=CELEX:32016R0679&from=HU).

Adatvédelmi, adatkezelési szempontból fontos fogalmak

Személyes adat: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; amelyből az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható (GDPR 4. cikk 1. pont);

A személyes adatok különleges kategóriái: a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok (GDPR 9. cikk /1/ bekezdés).

Genetikai adat: egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó minden olyan személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozó egyedi információt hordoz, és amely elsősorban az említett természetes személyből vett biológiai minta elemzéséből ered (GDPR 4. cikk 13. pont);

Egészségügyi adat: egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról (GDPR 4. cikk 15. pont);

Adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés azonosítható (GDPR 4. cikk 2. pont);   

Adatkezelés korlátozása: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából (GDPR 4. cikk 3. pont);

Adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja (GDPR 4. cikk 7. pont);

Adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel (GDPR 4. cikk 8. pont);

Címzett: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak (GDPR 4. cikk 9. pont);

Harmadik fél: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak (GDPR 4. cikk 10. pont);

Az érintett hozzájárulása: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez (GDPR 4. cikk 11. pont);

Profilalkotás: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére, különösen a munkahelyi teljesítményhez, gazdasági helyzethez, egészségi állapothoz, személyes preferenciákhoz, érdeklődéshez, megbízhatósághoz, viselkedéshez, tartózkodási helyhez vagy mozgáshoz kapcsolódó jellemzők elemzésére vagy előrejelzésére használják (GDPR 4. cikk 4. pont);

Álnevesítés a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik; feltéve, hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni (GDPR 4. cikk 5. pont);

Adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi (GDPR 4. cikk 12. pont);

Az adatkezelés korlátozása: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából azonosítható (GDPR 4. cikk 3. pont);

Nyilvántartási rendszer: a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető (GDPR 4. cikk 6. pont);

Felügyeleti hatóság: független közhatalmi szerv (GDPR 4. cikk 21. pont), amely Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság.

Vállalkozás: gazdasági tevékenységet folytató természetes vagy jogi személy, függetlenül a jogi formájától, ideértve a rendszeres gazdasági tevékenységet folytató személyegyesítő társaságokat és egyesületeket is (GDPR 4. cikk 18. pont).

Az adatkezelő a személyes adatokat a következő elvek betartásával kezeli:

Az adatkezelő a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon végzi („jogszerűség, tisztességes eljárás és átláthatóság”);

az adatkezelő adatot csak meghatározott, egyértelmű és jogszerű célból gyűjt, és a begyűjtött adatokat nem kezeli az itt leírt célokkal össze nem egyeztethető módon („célhoz kötöttség”);

az adatkezelő csak az adatkezelési cél szempontjából megfelelő, releváns és szükséges adatokat kezeli („adattakarékosság”);

az adatkezelő minden ésszerű intézkedést megtesz annak érdekében, hogy az adatok pontosak, és ha lehet, naprakészek legyenek, míg a pontatlan személyes adatokat igyekszik haladéktalanul törölni vagy helyesbíteni („pontosság”);

az adatkezelő az adatokat olyan formában tárolja, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé („korlátozott tárolhatóság”);

az adatkezelő megfelelő technikai vagy szervezési intézkedéseket alkalmaz annak érdekében, hogy biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelem („integritás és bizalmas jelleg”).

Az adatkezelő a megfelelés igazolására képes, ezáltal az elszámoltathatóság elvének biztosításáról is gondoskodik.

AZ ÉRINTETT ADATKEZELÉSSEL ÖSSZEFÜGGŐ JOGAINAK MAGYARÁZATA:

Tájékoztatáshoz való jog:

Az adatkezelő az Ön részére a személyes adatok kezelésére vonatkozó valamennyi információt tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva köteles átadni. Jelen tájékoztató ezt a célt szolgálja.

Az információkat az adatkezelő késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül írásban adja meg. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy az érintett a személyazonosságát megelőzőleg más módon hitelt érdemlően igazolta.

Amennyiben a kérelem összetett és nagy számú, az egy hónapos határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet. Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást lehetőség szerint elektronikus úton kell megadni, kivéve, ha az érintett azt másként kéri.

Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be valamely felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával.

A személyes adatokhoz, az adatkezeléssel kapcsolatos információkhoz való hozzáférés joga:

Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

1. az adatkezelés céljai;
2. az érintett személyes adatok kategóriái;
3. azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják;
4. a személyes adatok tárolásának tervezett időtartama, vagy ezen időtartam meghatározásának szempontjai;
5. az érintett tájékoztatása arról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;
6. a felügyeleti hatósághoz (amely a NAIH) címzett panasz benyújtásának joga;
7. ha az adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információ;
8. az automatizált döntéshozatal (ideértve a profilalkotást is) megvalósul-e az adatkezelőnél és ha igen, mely területen, mi az alkalmazott logika és az ilyen adatkezelés milyen jelentőséggel bír, illetőleg az érintettre nézve milyen várható következményekkel jár.

Ezen tájékoztatást az adatkezelő jelen tájékoztató anyagba is belefoglalta.

Az adatkezelő ismételten tájékoztatja az érintettet, hogy személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására semmilyen formában nem kerül sor.

Másolat rendelkezésre bocsátásának joga:

Az adatkezelő az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja az érintett kérelme esetén. Az érintett által kért további másolatokért az adatkezelő az adminisztratív költségeken alapuló, észszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.

A másolat igénylésére vonatkozó jog korlátját képezi azonban, hogy az nem érintheti hátrányosan mások jogait és szabadságait.

A helyesbítés joga:

Az érintett jogosult arra, hogy az adatkezelőtől kérje a rá vonatkozó pontatlan személyes adatok indokolatlan késedelem nélküli helyesbítését, illetőleg a hiányos személyes adatok – egyebek mellett pl. kiegészítő nyilatkozat útján történő – kiegészítését.

A törlés joga:

Az érintett jogosult arra, hogy az adatkezelőtől kérje a rá vonatkozó személyes adatok indokolatlan késedelem nélküli törlését, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

1. a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;
2. az érintett visszavonja az adatkezelés jogalapját képező hozzájárulását (vagy kifejezett hozzájárulását), és az adatkezelésnek nincs másik jogalapja;
3. az érintett tiltakozik a közérdekből vagy jogos érdekből történő adatkezelése ellen, és valóban nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a közvetlen üzletszerzési érdekből történő adatkezelés ellen tiltakozik;
4. a személyes adatokat az adatkezelő jogellenesen kezelte;
5. a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell.

Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az ésszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő egyéb adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.

Nem lehet az adatok törlését kérni, amennyiben az adatkezelés szükséges:

1. a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;
2. a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;
3. a népegészségügy területét érintő közérdek alapján;
4. közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben a törléshez való jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy
5. jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez.

Az adatkezelés korlátozásához való jog:

Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

1. az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;
2. az adatkezelés jogellenes, azonban az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
3. az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy
4. az érintett tiltakozott az adatkezelés ellen; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy a tiltakozás jogszerű, helytálló-e vagy sem.

Ha az adatkezelés korlátozás alá esik, úgy az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez, védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

Az adatkezelő köteles tájékoztatni az érintettet arról előzetesen, amennyiben az adatkezelés korlátozását feloldja.

Az adatkezelés elleni tiltakozáshoz való jog:

Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak jogos érdekből, közérdekből vagy közhatalmi jogosítvány alapján történő kezelése ellen.

Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak. Jelen esetben a közhatalmi tevékenység folyamatos, zökkenőmentes gyakorlásához kapcsolódó adatkezelési célok az online távoktatás jelen Adatkezelési Tájékoztatóban rögzített formáinak alkalmazását feltétlenül indokolják.

Panasz benyújtásának joga:

Az érintett jogosult arra, hogy amennyiben bármely fenti joga sérülne, úgy a felügyeleti hatósághoz címzett panaszt nyújtson be.

A felügyeleti hatóság a Nemzeti Adatvédelmi és Információszabadság Hatóság (levelezési cím: 1530  Budapest, Pf.: 5., telefon: +36 (1) 391-1400, email: ugyfelszolgalat@naih.hu, honlap: www.naih.hu), ahol panaszt tehet, illetőleg bejelentéssel vizsgálatot kezdeményezhet arra hivatkozással, hogy személyes adatai kezelésével kapcsolatban jogsérelem érte vagy annak közvetlen veszélye fennáll, illetve jogainak megsértése esetén.

Bírósághoz fordulás joga:

Tájékoztatjuk arról is, hogy személyes adatai kezelésével kapcsolatban jogsérelem érte vagy annak közvetlen veszélye fennáll, illetve jogainak megsértése esetén közvetlenül bírósághoz is fordulhat.

Észrevételeit, kérdéseit, panaszát az adatkezelőnek, illetve az adatvédelmi felelősnek is jelezheti.

ÍGY VIGYÁZUNK SZEMÉLYES ADATAI BIZTONSÁGÁRA

Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, ideértve, többek között, adott esetben:

1. a személyes adatok álnevesítését és titkosítását;
2. a személyes adatok kezelésére használt rendszerek és szolgáltatások folyamatos bizalmas jellegének biztosítását, integritását, rendelkezésre állását és ellenálló képességét;
3. fizikai vagy műszaki incidens esetén az arra való képességet, hogy a személyes adatokhoz való hozzáférést és az adatok rendelkezésre állását kellő időben vissza lehet állítani;
4. az adatkezelés biztonságának garantálására hozott technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást.

Adatbiztonsági intézkedéseink a következők:

A jelen szabályzatban leírt személyes adatai az adatkezelő zárt rendszerében, elektronikusan kerülnek tárolásra.

Digitálisan (elektronikus módon) tárolt személyes adatok biztonsága

A digitálisan tárolt személyes adatok biztonsága érdekében az alábbi intézkedéseket és garanciális elemeket alkalmazza:

1. az adatkezelés során használt számítógépek az adatkezelő tulajdonát képezik, vagy azok fölött tulajdonosi jogkörrel megegyező joggal bír,
2. a számítógépen található adatokhoz csak érvényes, személyre szóló, azonosítható jogosultsággal - legalább felhasználói névvel és jelszóval – lehet csak hozzáférni, a jelszavak cseréjéről az adatkezelő rendszeresen gondoskodik;
3. az adatokkal történő minden számítógépes művelet nyomon követhetően naplózásra kerül;
4. a hálózati kiszolgáló gépen (a továbbiakban: szerver) tárolt adatokhoz csak megfelelő jogosultsággal és csakis az arra kijelölt személyek férhetnek hozzá;
5. amennyiben az adatkezelés célja megvalósult, az adatkezelés határideje letelt, úgy az adatot tartalmazó fájl visszaállíthatatlanul törlésre kerül, az adat újra vissza nem nyerhető;
6. a személyes adatokat tartalmazó adatbázisok aktív adataiból rendszeres mentést végez;
7. a személyes adatokat kezelő hálózaton a vírusvédelemről folyamatosan gondoskodik;
8. a rendelkezésre álló számítástechnikai eszközökkel, azok alkalmazásával megakadályozza illetéktelen személyek hálózati hozzáférését.

ADATVÉDELMI INCIDENC ESETÉN KÖVETENDŐ ELJÁRÁSUNK

Adatvédelmi incidensnek nevezzük a biztonság olyan sérülését, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

1. Az adatvédelmi incidens bejelentése a felügyeleti hatóságnak

Az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti a felügyeleti hatóságnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.

A bejelentésben a felügyeleti szervet az adatkezelő a következőkről köteles tájékoztatni:

1. ismertetni kell az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát;
2. közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségeit;
3. ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;
4. ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

2. Az érintett tájékoztatása az adatvédelmi incidensről

Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül, világosan és közérthetően tájékoztatja az érintettet az adatvédelmi incidensről.

Az érintettet nem kell tájékoztatni, ha a következő feltételek bármelyike teljesül:

1. az adatkezelő megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;
2. az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;
3. a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.