Adatvédelmi és adatbiztonsági szabályzat

A FourDán oktatási, kulturális szolgáltató Kft. az Európai Unió adatvédelmi jogi aktusaiban, valamint az adatvédelem tárgyában hozott nemzeti jogszabályokban meghatározott elvárásoknak való megfelelés, továbbá a személyes adatok védelmének biztosítása érdekében az alábbi szabályzatot alkotja:

A SZABÁLYZAT TÁRGYA

1. Jelen szabályzat (a továbbiakban: Szabályzat) tárgya a FourDán oktatási, kulturális szolgáltató Kft. mint az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) – a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (a továbbiakban: GDPR) – 4. cikk (7) bekezdése szerinti adatkezelő (a továbbiakban: adatkezelő) személyes adatok kezelésére irányuló gyakorlatának szabályozása.

A SZABÁLYZAT HATÁLYA

2. Jelen Szabályzat hatálya kiterjed az adatkezelő vezetőire, munkavállalóira és megbízottaira. Az adatkezelő által kezelt személyes adatok körét a Szabályzat 1. melléklete tartalmazza.

FOGALOMMEGHATÁROZÁSOK

3. A jelen Szabályzat alkalmazásában a GDPR rendelkezéseire figyelemmel:

a) személyes adat: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító – például név, szám, helymeghatározó adat, online azonosító – vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható (GDPR 4. cikk 1. pont);

b) adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így különösen a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés (továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel), összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés (GDPR 4. cikk 2. pont);

c) adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza (GDPR 4. cikk 7. pont);

d) adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel (GDPR 4. cikk 8. pont);

e) az érintett hozzájárulása: az érintett akaratának önkéntes, konkrét, megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez (GDPR 4. cikk 11. pont);

f) adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi (GDPR 4. cikk 12. pont).

A GDPR 4. cikk 1–26. pontjai tartalmazzák a fogalommeghatározások teljes körét.

AZ ADATKEZELŐ ADATAI ÉS ELÉRHETŐSÉGEI

4. Az adatkezelő adatai:

Név: FourDán oktatási, kulturális szolgáltató Kft.

Székhely: 2735 Dánszentmiklós, Széchenyi utca 3/A.

Adószám: 32440216-2-13

Cégjegyzékszám: 13-09-231143

Telefonszám: 06-70-631-5242

E-mail: info@fourdankft.com

Web: https://fokit.hu

Ügyvezető: Szilaj Zsolt

Adatvédelmi tisztviselő

Név: Dr. Lakos Roland LL.M.

E-mail: drlakosroland@gmail.com

Telefonszám: 06-70-600-3844

AZ ADATKEZELÉS ELVEI

5. A személyes adatok kezelésének alapelvei:

• jogszerűség, tisztességes eljárás és átláthatóság [GDPR 5. cikk (1) bekezdés a) pont];

• célhoz kötöttség [GDPR 5. cikk (1) bekezdés b) pont];

• adattakarékosság [GDPR 5. cikk (1) bekezdés c) pont];

• pontosság [GDPR 5. cikk (1) bekezdés d) pont];

• korlátozott tárolhatóság [GDPR 5. cikk (1) bekezdés e) pont];

• integritás és bizalmas jelleg [GDPR 5. cikk (1) bekezdés f) pont];

• elszámoltathatóság [GDPR 5. cikk (2) bekezdés].

AZ ADATKEZELÉS JOGSZERŰSÉGE (JOGALAPJAI)

6. A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az alábbi jogalapok valamelyike fennáll:

• az érintett hozzájárulása [GDPR 6. cikk (1) bekezdés a) pont];

• szerződés teljesítése vagy a szerződés megkötését megelőző lépések megtétele [GDPR 6. cikk (1) bekezdés b) pont];

• jogi kötelezettség teljesítése [GDPR 6. cikk (1) bekezdés c) pont];

• az érintett vagy más természetes személy létfontosságú érdekeinek védelme [GDPR 6. cikk (1) bekezdés d) pont];

• közhatalmi jogosítvány gyakorlása [GDPR 6. cikk (1) bekezdés e) pont];

• az adatkezelő vagy harmadik fél jogos érdeke [GDPR 6. cikk (1) bekezdés f) pont].

7. Amennyiben az adatkezelés céljától eltérő célból történik adatkezelés, az adatkezelő vizsgálja az összeegyeztethetőséget a GDPR 6. cikk (4) bekezdésében foglalt szempontok alapján.

A HOZZÁJÁRULÁS FELTÉTELEI

8. Az adatkezelő köteles igazolni, hogy az érintett hozzájárult személyes adatainak kezeléséhez.

9. A hozzájárulás iránti kérelmet egyértelmű, érthető és elkülönített formában kell megadni.

10. Az érintett jogosult hozzájárulását bármikor visszavonni.

11. A hozzájárulás önkéntességét minden esetben biztosítani kell.

A SZEMÉLYES ADATOK KÜLÖNLEGES KATEGÓRIÁI

12. A különleges adatok kezelése főszabály szerint tilos.

13. A kivételeket a GDPR 9. cikk (2)–(3) bekezdése tartalmazza.

AZONOSÍTÁST NEM IGÉNYLŐ ADATKEZELÉS

14. Az adatkezelő nem köteles az érintett azonosítására, ha az adatkezelés célja ezt nem teszi szükségessé.

15. Amennyiben az érintett nem azonosítható, a GDPR 15–20. cikke szerinti jogok korlátozottan alkalmazhatók.

AZ ÉRINTETT JOGAI

Átlátható tájékoztatás, kommunikáció és az érintett jogainak gyakorlása

16. Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a GDPR 13. és 14. cikkében említett valamennyi információt, valamint a GDPR 15–22. és 34. cikk szerinti tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy személyazonossága igazolt. [GDPR 12. cikk (1) bekezdés]

17. Az adatkezelő elősegíti az érintett GDPR 15–22. cikk szerinti jogainak gyakorlását. Az adatkezelő az érintett kérelmének teljesítését nem tagadhatja meg, kivéve, ha bizonyítja, hogy az érintettet nem áll módjában azonosítani. [GDPR 12. cikk (2) bekezdés]

18. Az adatkezelő indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a kérelem nyomán hozott intézkedésekről. Szükség esetén – figyelembe véve a kérelem összetettségét és a kérelmek számát – ez a határidő további két hónappal meghosszabbítható. A határidő meghosszabbításáról az adatkezelő a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet.

Ha az érintett elektronikus úton nyújtotta be a kérelmet, a tájékoztatást – eltérő kérés hiányában – elektronikus úton kell megadni. [GDPR 12. cikk (3) bekezdés]

19. Ha az adatkezelő nem tesz intézkedéseket az érintett kérelme nyomán, indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy panaszt nyújthat be felügyeleti hatóságnál, és élhet bírósági jogorvoslati jogával. [GDPR 12. cikk (4) bekezdés]

20. A GDPR 13. és 14. cikk szerinti információkat, valamint a GDPR 15–22. és 34. cikk szerinti tájékoztatást és intézkedéseket díjmentesen kell biztosítani.

Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő:

• észszerű összegű díjat számíthat fel, vagy

• megtagadhatja a kérelem teljesítését.

A kérelem megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli. [GDPR 12. cikk (5) bekezdés]

21. Ha az adatkezelőnek megalapozott kétségei vannak a kérelmet benyújtó személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti. [GDPR 12. cikk (6) bekezdés]

Tájékoztatás és a személyes adatokhoz való hozzáférés

22. Ha a személyes adatokat az érintettől gyűjtik, az adatkezelő által nyújtandó tájékoztatás körét a GDPR 13. cikk (1)–(4) bekezdései határozzák meg.

23. Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő által nyújtandó tájékoztatás körét a GDPR 14. cikk (1)–(5) bekezdései határozzák meg.

Az érintett hozzáférési joga

24. Az érintett jogosult arra, hogy visszajelzést kapjon arról, hogy személyes adatainak kezelése folyamatban van-e, és jogosult arra, hogy a személyes adatokhoz és a GDPR 15. cikk (1) bekezdésében meghatározott információkhoz hozzáférést kapjon. [GDPR 15. cikk (1) bekezdés]

25. A hozzáférési jog részletszabályait a GDPR 15. cikk (2)–(4) bekezdései tartalmazzák.

A helyesbítéshez való jog

26. Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat, illetve kérje a hiányos adatok kiegészítését. [GDPR 16. cikk]

A törléshez való jog („az elfeledtetéshez való jog”)

27. Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, ha a GDPR 17. cikk (1) bekezdésében meghatározott feltételek valamelyike fennáll.

28. Ha az adatkezelő a személyes adatot nyilvánosságra hozta, és azt törölni köteles, megteszi az észszerűen elvárható lépéseket annak érdekében, hogy tájékoztassa az adatokat kezelő további adatkezelőket. [GDPR 17. cikk (2) bekezdés]

29. A törléshez való jog nem alkalmazható a GDPR 17. cikk (3) bekezdésében meghatározott esetekben.

Az adatkezelés korlátozásához való jog

30. Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést a GDPR 18. cikk (1) bekezdésében meghatározott esetekben.

31. A korlátozás alá eső adatokat – a tárolás kivételével – csak a GDPR 18. cikk (2) bekezdésében meghatározott esetekben lehet kezelni.

32. Az adatkezelő az érintettet előzetesen tájékoztatja az adatkezelés korlátozásának feloldásáról. [GDPR 18. cikk (3) bekezdés]

A személyes adatok helyesbítéséhez, törléséhez és az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség

33. Az adatkezelő minden olyan címzettet tájékoztat a helyesbítésről, törlésről vagy adatkezelés-korlátozásról, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére az adatkezelő tájékoztatja e címzettekről. [GDPR 19. cikk]

Az adathordozhatósághoz való jog

34. Az érintett jogosult arra, hogy a rá vonatkozó, általa az adatkezelő rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, valamint jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa, ha:

• az adatkezelés hozzájáruláson vagy szerződésen alapul; és

• az adatkezelés automatizált módon történik. [GDPR 20. cikk (1) bekezdés]

35. Az érintett jogosult arra, hogy – amennyiben ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását. [GDPR 20. cikk (2) bekezdés]

36. Az adathordozhatósághoz való jog gyakorlása nem sértheti a törléshez való jogra vonatkozó rendelkezéseket, és nem alkalmazható közérdekű vagy közhatalmi jogkörben végzett adatkezelés esetén. [GDPR 20. cikk (3) bekezdés]

37. Az e jog gyakorlása nem érintheti hátrányosan mások jogait és szabadságait.

A tiltakozáshoz való jog

38. Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzon személyes adatainak kezelése ellen, ha az adatkezelés a GDPR 6. cikk (1) bekezdés e) vagy f) pontján alapul. Ebben az esetben az adatkezelő a személyes adatokat nem kezelheti tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett jogaival és szabadságaival szemben, vagy amelyek jogi igények érvényesítéséhez kapcsolódnak. [GDPR 21. cikk (1) bekezdés]

39. A tiltakozáshoz való jogra az érintett figyelmét legkésőbb az első kapcsolatfelvétel során fel kell hívni. [GDPR 21. cikk (4) bekezdés]

40. Az érintett a tiltakozáshoz való jogát automatizált eszközökkel is gyakorolhatja. [GDPR 21. cikk (5) bekezdés]

41. Tudományos, történelmi vagy statisztikai célú adatkezelés esetén az érintett tiltakozhat, kivéve, ha az adatkezelés közérdekű feladat ellátásához szükséges. [GDPR 21. cikk (6) bekezdés]

Automatizált döntéshozatal

42. Az érintett jogosult arra, hogy ne terjedjen ki rá kizárólag automatizált adatkezelésen alapuló döntés hatálya. [GDPR 22. cikk (1) bekezdés]

43. Ez a jog nem alkalmazandó, ha a döntés:

• szerződés teljesítéséhez szükséges;

• jogszabályon alapul; vagy

• az érintett kifejezett hozzájárulásán alapul. [GDPR 22. cikk (2) bekezdés]

44. Az adatkezelő biztosítja az érintett számára az emberi beavatkozás lehetőségét, az álláspont kifejtését és a döntéssel szembeni kifogás jogát. [GDPR 22. cikk (3) bekezdés]

45. A döntések főszabály szerint nem alapulhatnak különleges adatokon, kivéve a GDPR-ban meghatározott eseteket.

Korlátozások

46. Az érintetti jogok gyakorlása a GDPR 23. cikke alapján jogszabályban korlátozható, amennyiben az szükséges és arányos intézkedés.

AZ ADATKEZELŐ ÉS AZ ADATFELDOLGOZÓ

Az adatkezelő feladatai

47. Az adatkezelő megfelelő technikai és szervezési intézkedéseket alkalmaz a GDPR-nak való megfelelés biztosítására és igazolására. [GDPR 24. cikk (1) bekezdés]

48. Az adatkezelő belső adatvédelmi szabályokat alkalmazhat. [GDPR 24. cikk (2) bekezdés]

49. Tanúsítási mechanizmusok alkalmazása a megfelelés igazolására felhasználható. [GDPR 24. cikk (3) bekezdés]

Beépített és alapértelmezett adatvédelem

50. Az adatkezelő az adatkezelés során adatvédelmi elveket és garanciákat épít be a folyamatokba. [GDPR 25. cikk (1) bekezdés]

51. Az adatkezelő biztosítja, hogy csak a szükséges adatok kezelése történjen. [GDPR 25. cikk (2) bekezdés]

52. Tanúsítás alkalmazható a megfelelés igazolására.

Az adatfeldolgozó

53. Az adatkezelő csak megfelelő garanciákat nyújtó adatfeldolgozót vehet igénybe. [GDPR 28. cikk (1) bekezdés]

54. További adatfeldolgozó csak az adatkezelő engedélyével vehető igénybe. [GDPR 28. cikk (2) bekezdés]

55. Az adatfeldolgozással kapcsolatos szerződéses és felelősségi szabályokat a GDPR 28. cikke tartalmazza.

Adatkezelési nyilvántartás

56. Az adatkezelő és adatfeldolgozó nyilvántartást vezet az adatkezelési tevékenységekről a GDPR 30. cikke szerint.

Együttműködés a hatósággal

57. Az adatkezelő együttműködik a felügyeleti hatósággal. [GDPR 31. cikk]

Adatbiztonság

58. Az adatkezelő megfelelő biztonsági intézkedéseket alkalmaz. [GDPR 32. cikk]

Adatvédelmi incidensek kezelése

Bejelentés a hatóság felé

59. Az adatkezelő az adatvédelmi incidenst indokolatlan késedelem nélkül, lehetőség szerint legkésőbb 72 órán belül bejelenti az illetékes felügyeleti hatóságnak. A bejelentés akkor mellőzhető, ha az incidens várhatóan nem jár kockázattal az érintettek jogaira és szabadságaira nézve. Amennyiben a bejelentés 72 órán túl történik, a késedelem okát indokolni kell.

Adatfeldolgozó kötelezettsége

60. Az adatfeldolgozó az adatvédelmi incidenst haladéktalanul jelzi az adatkezelőnek, amint arról tudomást szerez.

A bejelentés tartalma

61. A hatóság felé történő bejelentésnek – lehetőség szerint – tartalmaznia kell:

• az incidens jellegét és körülményeit

• az érintettek és az érintett adatok körét (becsléssel)

• a kapcsolattartó adatait

• a várható következményeket

• a megtett vagy tervezett intézkedéseket

Ha minden információ nem áll rendelkezésre, azokat később, indokolatlan késedelem nélkül pótolni kell.

Incidens nyilvántartása

63. Az adatkezelő minden adatvédelmi incidenst nyilvántart, beleértve:

• az incidens körülményeit

• hatásait

• a megtett intézkedéseket

Az érintettek tájékoztatása

Tájékoztatási kötelezettség

64. Ha az incidens valószínűsíthetően magas kockázattal jár az érintettekre nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja őket.

A tájékoztatás tartalma

65. A tájékoztatásnak közérthetően tartalmaznia kell:

• az incidens jellegét

• a lehetséges következményeket

• a megtett vagy javasolt intézkedéseket

• a kapcsolattartási lehetőséget

Mikor nem szükséges tájékoztatni az érintetteket

66. Az érintettek tájékoztatása mellőzhető, ha:

• az adatok megfelelő védelemmel (pl. titkosítással) voltak ellátva

• az adatkezelő utólag megszüntette a kockázatot

• a tájékoztatás aránytalan erőfeszítést igényel

Utóbbi esetben az érintetteket nyilvános módon kell tájékoztatni.

Hatósági kötelezés

67. A felügyeleti hatóság elrendelheti az érintettek tájékoztatását, ha azt indokoltnak tartja. Az adatkezelő megfelelő biztonsági intézkedéseket alkalmaz. [GDPR 32. cikk]

Adatvédelmi hatásvizsgálat és előzetes konzultáció

Mikor szükséges hatásvizsgálat

68. Az adatkezelő adatvédelmi hatásvizsgálatot végez minden olyan esetben, amikor az adatkezelés – különösen új technológiák alkalmazása esetén – várhatóan magas kockázattal jár az érintettek jogaira és szabadságaira nézve.

Hasonló jellegű, azonos kockázatú adatkezelések egy hatásvizsgálat keretében is értékelhetők.

Az adatvédelmi tisztviselő szerepe

69. Amennyiben adatvédelmi tisztviselő kijelölésre került, az adatkezelő a hatásvizsgálat elkészítése során kikéri annak szakmai véleményét.

A hatásvizsgálat tartalma

70. A hatásvizsgálat legalább az alábbiakat tartalmazza:

• az adatkezelés céljának és működésének bemutatását

• a szükségesség és arányosság vizsgálatát

• a kockázatok azonosítását

• a kockázatok kezelésére szolgáló intézkedéseket

Előzetes konzultáció

Konzultáció a hatósággal

71. Ha a hatásvizsgálat alapján az adatkezelés a megtett intézkedések ellenére is magas kockázatot jelent, az adatkezelő a tevékenység megkezdése előtt konzultál a felügyeleti hatósággal.

Kötelező konzultáció esetei

72. Jogszabály egyes esetekben előírhatja a hatósággal való előzetes egyeztetést, különösen közérdekű feladatokhoz kapcsolódó adatkezelések esetén.

További szabályok

73. Az előzetes konzultáció részletes szabályait a vonatkozó jogszabályok határozzák meg.

ADATVÉDELMI TISZTVISELŐ

Az adatvédelmi tisztviselő kijelölése

74. Az adatkezelő és az adatfeldolgozó adatvédelmi tisztviselőt jelöl ki minden olyan esetben, amikor:

• az adatkezelést közhatalmi szervek vagy közfeladatot ellátó szervek végzik;

• az adatkezelő vagy az adatfeldolgozó fő tevékenységei az érintettek rendszeres és nagymértékű megfigyelését teszik szükségessé;

• a fő tevékenység különleges adatok vagy bűnügyi adatok nagy számban történő kezelésére irányul. [GDPR 37. cikk (1)]

75. Közös adatvédelmi tisztviselő is kijelölhető. [GDPR 37. cikk (3)]

76. Az adatvédelmi tisztviselőt szakmai rátermettsége alapján kell kijelölni. [GDPR 37. cikk (5)]

77. Az adatvédelmi tisztviselő alkalmazott vagy megbízott is lehet. [GDPR 37. cikk (6)]

78. Az adatkezelő közzéteszi az adatvédelmi tisztviselő elérhetőségét. [GDPR 37. cikk (7)]

Az adatvédelmi tisztviselő jogállása

82. Az adatvédelmi tisztviselő függetlensége, támogatása, titoktartása és összeférhetetlensége a GDPR 38. cikke szerint biztosított.

Az adatvédelmi tisztviselő feladatai

83. Az adatvédelmi tisztviselő feladatai különösen:

• tájékoztatás és tanácsadás;

• megfelelés ellenőrzése;

• hatásvizsgálat támogatása;

• együttműködés a hatósággal;

• kapcsolattartás. [GDPR 39. cikk (1)]

84. A feladatokat kockázatalapú megközelítés szerint látja el. [GDPR 39. cikk (2)]

MAGATARTÁSI KÓDEXEK ÉS TANÚSÍTÁS

85. A magatartási kódexekre és tanúsításra a GDPR 40–42. cikkei irányadók.

ADATTOVÁBBÍTÁS HARMADIK ORSZÁGBA

86. Személyes adat harmadik országba csak a GDPR V. fejezetében foglalt feltételek mellett továbbítható. [GDPR 44. cikk]

JOGORVOSLAT, FELELŐSSÉG, SZANKCIÓK

Panasztétel

87. Az érintett jogosult panaszt benyújtani a felügyeleti hatósághoz, ha megítélése szerint személyes adatainak kezelése jogsértő.

88. A hatóság a panasz kivizsgálásáról és annak eredményéről tájékoztatást ad.

Bírósági jogorvoslat

89. Az érintett jogosult bírósághoz fordulni:

• a felügyeleti hatóság döntésével szemben

• ha a hatóság nem foglalkozik a panasszal vagy nem ad választ

90. Az érintett közvetlenül az adatkezelővel vagy adatfeldolgozóval szemben is bírósági eljárást indíthat.

Kártérítés és felelősség

91. Az a személy, akit jogellenes adatkezelés miatt kár ér, jogosult kártérítésre.

• Az adatkezelő felel az adatkezelés jogszerűségéért

• Az adatfeldolgozó akkor felel, ha megsérti a rá vonatkozó szabályokat vagy az utasításokat

92. Több szereplő esetén a felelősség egyetemleges lehet. A felelősség alól az mentesülhet, aki bizonyítja, hogy a kárért nem felelős.

Közigazgatási bírságok

93. Jogszabálysértés esetén a felügyeleti hatóság bírságot szabhat ki, amelynek mértéke:

• súlyosabb esetben akár 20 millió euróig vagy a vállalkozás éves árbevételének 4%-áig terjedhet

• enyhébb esetben alacsonyabb, de jelentős összegű bírság is kiszabható

94. A bírság mértéke az eset súlyosságától függ.

Speciális adatkezelések

Hivatalos dokumentumok kezelése

95. A közfeladatot ellátó szervek a jogszabályokkal összhangban nyilvánosságra hozhatják a hivatalos dokumentumokban szereplő személyes adatokat, a nyilvánosság és az adatvédelem egyensúlyának biztosítása mellett.

96. Archiválási, kutatási és statisztikai célú adatkezelés

97. Az ilyen célú adatkezelés kizárólag megfelelő garanciák mellett történhet, különösen:

• adattakarékosság alkalmazásával

• szükség esetén álnevesítéssel

• az érintettek azonosíthatóságának korlátozásával

98. Az adatkezelésnek minden esetben tiszteletben kell tartania az érintettek jogait.

HIVATALOS DOKUMENTUMOKHOZ VALÓ HOZZÁFÉRÉS

99. A közérdekű dokumentumok nyilvánossága a GDPR 86. cikk szerint biztosítható.

KUTATÁSI ÉS STATISZTIKAI ADATKEZELÉS

100. A GDPR 89. cikk szerinti garanciák alkalmazandók.

ZÁRÓ RENDELKEZÉSEK

Jelen szabályzat a jóváhagyás napján lép hatályba, és visszavonásig vagy módosításig érvényes.

101. Az adatkezelő fenntartja a jogot, hogy a szabályzatot bármikor módosítsa, különösen jogszabályváltozás, hatósági gyakorlat vagy belső működés változása esetén. A módosításokról az érintettek és a munkavállalók megfelelő tájékoztatást kapnak.

Kötelező érvény

102. A szabályzat előírásai az adatkezelő valamennyi munkavállalójára, megbízottjára és adatfeldolgozójára kötelezőek. A szabályzat megsértése jogkövetkezményekkel járhat.

Kapcsolódó dokumentumok

103. A jelen szabályzathoz kapcsolódó dokumentumok különösen:

• 1. sz. melléklet: a kezelt személyadatok köre

• 2. sz. melléklet: a weblap látogatóinak adatai

• 3. sz. melléklet: adatkezelési hozzájárulás (nyilatkozat minta)

• 4. sz. melléklet: adattovábbi nyilvántartás

• 5. sz. melléklet: adatszolgáltatási nyilvántartás

• 6. sz. melléklet: adatkezelési nyilvántartás

E dokumentumok a szabályzattal együtt értelmezendők.

104. A jelen szabályzatban nem szabályozott kérdésekben az Európai Unió általános adatvédelmi rendelete (GDPR), valamint a hatályos magyar jogszabályok rendelkezései az irányadók.

Hatálybalépés dátuma: 2026. április 07.

Szilaj Zsolt

ügyvezető

Adatvédelmi és adatbiztonsági szabályzat 1.sz. melléklete

A KEZELT SZEMÉLYADATOK KÖRE

Az adatkezelő az alábbi személyes adatokat kezeli:

1. Regisztráció során megadott adatok

Az adatkezelő által üzemeltetett, fokit.hu címen elérhető portál (a továbbiakban: „Portál”) egyes szolgáltatásainak használatához regisztráció szükséges. A regisztráció során a felhasználó köteles megadni az alábbi adatokat:

• valós vagy választott teljes név

• e-mail cím

• felhasználónév

• jelszó

• születési év

• nem

• regisztrációs szerepkör (pl. tanár / diák / egyéb)

• intézmény neve (tanár vagy diák esetében)

2. Technikai adatok

A rendszer működése során automatikusan rögzítésre kerülnek olyan technikai adatok, amelyek a szolgáltatás igénybevétele során keletkeznek (pl. belépés és kilépés időpontja, rendszerhasználati adatok).

Ezen adatok:

• a rendszer működéséhez szükségesek

• automatikusan kerülnek naplózásra

• más személyes adatokkal – jogszabály eltérő rendelkezése hiányában – nem kapcsolhatók össze

Az adatokhoz kizárólag az adatkezelő fér hozzá.

3. Cookie-k (sütik)

A weboldal látogatása során az adatkezelő cookie-kat alkalmaz, amelyek a felhasználó böngészőjének azonosítását szolgálják. Az alkalmazott cookie-k típusai:

• analitikai és statisztikai cookie-k

• követési cookie-k

• munkamenet (session) cookie-k

A felhasználó a böngésző beállításaiban:

• letilthatja a cookie-k használatát

• beállíthatja az új cookie-k elfogadását

• törölheti a korábban elhelyezett cookie-kat

A böngésző „Segítség” menüpontja részletes tájékoztatást nyújt a cookie-beállításokról.

Adatvédelmi és adatbiztonsági szabályzat 2.sz. melléklete

A WEBLAP LÁTOGATÓINAK ADATAI

Az adatkezelő az általa üzemeltetett weboldalak látogatása során főszabályként nem rögzíti a látogatók személyes adatait.

A weboldalak ugyanakkor tartalmazhatnak külső szolgáltatóktól származó webanalitikai elemeket, amelyek a látogatottság mérését és a felhasználói viselkedés elemzését szolgálják. Ezek a szolgáltatások nem azonosítják a felhasználót, és kizárólag olyan adatokat kezelnek, amelyek egyedi személyazonosításra nem alkalmasak.

Az adatkezelő a Facebook és a Google hirdetési rendszereit használhatja remarketing célokra. Ezen szolgáltatók:

• cookie-kat és hasonló technológiákat alkalmazhatnak

• a felhasználó böngészési szokásai alapján célzott hirdetéseket jeleníthetnek meg

A remarketing során kezelt adatok nem tartalmaznak személyazonosításra alkalmas információkat.

A felhasználó a cookie-k használatát:

• böngészője beállításaiban letilthatja

• a már elmentett cookie-kat törölheti

A cookie-beállítások a böngésző „Beállítások” vagy „Adatvédelem” menüpontjában érhetők el.

Hírlevél

Az adatkezelő hírlevél-szolgáltatást működtet, amelynek keretében elektronikus úton – jellemzően havi rendszerességgel – tájékoztatókat, híreket és ajánlatokat küld a feliratkozók részére.

A hírlevélre történő feliratkozás során az alábbi adatok megadása szükséges:

• név

• e-mail cím

Ezen adatok kezelése a hírlevelek kézbesítéséhez szükséges.

Az adatkezelés időtartama a hozzájárulás visszavonásáig tart. A leiratkozás lehetőségét minden hírlevél egy közvetlen linken biztosítja. A megadott adatok valódiságáért a felhasználó felel.

Adatvédelmi és adatbiztonsági szabályzat 3.sz. melléklete

ADATKEZELÉSI HOZZÁJÁRULÁS (NYILATKOZAT MINTA)

1. Az érintett adatai

Név: .........................................................

Születési hely, idő: .........................................................

Anyja neve: .........................................................

Lakcím: .........................................................

Nem önjogú személy esetén:

Törvényes képviselő neve: .........................................................

Születési hely, idő: .........................................................

Anyja neve: .........................................................

Lakcím: .........................................................

(a továbbiakban: Érintett)

2. Hozzájárulás

Aláírásommal kifejezetten hozzájárulok ahhoz, hogy az Adatkezelő a jelen nyilatkozatban megjelölt személyes adataimat a megjelölt célból kezelje.

A hozzájárulásom önkéntes, konkrét és megfelelő tájékoztatáson alapul.

3. Az adatkezelő adatai

Adatkezelő: .........................................................

Elérhetőség: .........................................................

Az adatkezelést az Adatkezelő kijelölt munkatársai végzik.

4. Az adatkezelés célja

.........................................................

5. A kezelt személyes adatok köre

Az adatkezelő az alábbi adatokat kezeli:

6. Iratok felhasználása

Hozzájárulok ahhoz, hogy az adatkezelő az alábbi dokumentumokat a szükséges mértékben megtekintse:

☐ személyazonosító okmányok

☐ egészségügyi dokumentumok

☐ egyéb: ................................

Az adatkezelő az iratokról – eltérő jogszabályi kötelezettség hiányában – másolatot nem készít.

7. Az adatkezelés időtartama

Az adatkezelés időtartama:

.........................................................

Tudomásul veszem, hogy az adatkezelés időtartama jogszabályi kötelezettségek (pl. megőrzési idő) miatt meghosszabbodhat.

8. Adattovábbítás

Az adatkezelő személyes adatokat harmadik fél részére kizárólag jogszabály alapján, vagy külön hozzájárulás alapján továbbíthat.

Címzett (ha releváns): .........................................................

9. Adatbiztonság

Az adatkezelő megfelelő technikai és szervezési intézkedéseket alkalmaz a személyes adatok védelme érdekében, különösen: jogosulatlan hozzáférés megakadályozása, adatvesztés elleni védelem, bizalmasság biztosítása. Az adatokhoz hozzáférő személyeket titoktartási kötelezettség terheli.

10. Az érintett jogai

Az érintett jogosult:

• tájékoztatást kérni adatai kezeléséről

• hozzáférést kérni adataihoz

• kérni adatai helyesbítését

• kérni adatai törlését

• kérni az adatkezelés korlátozását

• tiltakozni az adatkezelés ellen

adathordozhatósághoz való jogával élni

11. Jogérvényesítési lehetőségek

Az érintett jogai megsértése esetén bírósághoz fordulhat, vagy panaszt tehet a Nemzeti Adatvédelmi és Információszabadság Hatóságnál (NAIH)

12. Nyilatkozat

Kijelentem, hogy:

a fenti tájékoztatást megismertem

a hozzájárulásomat önkéntesen adtam meg

az adatkezelés feltételeit megértettem

Kelt: .........................................................

.........................................................

Érintett aláírása

.........................................................

Törvényes képviselő aláírása (ha releváns)

Adatvédelmi és adatbiztonsági szabályzat 4.sz. melléklete

ADATTOVÁBBI NYILVÁNTARTÁS

1. A nyilvántartás célja

Az adattovábbítási nyilvántartás célja, hogy az Adatkezelő átlátható módon dokumentálja a személyes adatok harmadik fél részére történő továbbítását, biztosítva ezzel a jogszerűség, az elszámoltathatóság és az átláthatóság elvének érvényesülését.

2. A nyilvántartás vezetésének szabályai

• Az adattovábbításról minden esetben nyilvántartást kell vezetni

• A nyilvántartást elektronikusan vagy papír alapon kell vezetni

• A nyilvántartás naprakész vezetéséért az adatkezelő kijelölt munkatársa felel

• A nyilvántartást kérésre a felügyeleti hatóság részére hozzáférhetővé kell tenni

3. Az adattovábbítási nyilvántartás adattartalma

Az adattovábbítási nyilvántartás az alábbi adatokat tartalmazza:

4. Különleges adattovábbítások

Különleges adatok továbbítása esetén a nyilvántartásban külön jelölni kell:

• az adattovábbítás jogalapját

• az alkalmazott garanciákat

• az érintettek tájékoztatásának módját

6. Megőrzési idő

Az adattovábbítási nyilvántartást az Adatkezelő az adattovábbítást követően legalább 5 évig megőrzi, vagy a vonatkozó jogszabályok szerinti ideig.

7. Adatbiztonság

A nyilvántartást úgy kell kezelni, hogy ahhoz kizárólag az arra jogosult személyek férjenek hozzá.

Adatvédelmi és adatbiztonsági szabályzat 5.sz. melléklete

ADATSZOLGÁLTATÁSI NYILVÁNTARTÁS

1. Nyilvántartási adatok

Sorszám: .........................................................

Adatszolgáltatás időpontja: .........................................................

2. Az adatszolgáltatás jogalapja

☐ jogszabályi kötelezettség

☐ hatósági megkeresés

☐ érintetti kérelem

☐ egyéb: .........................................................

Jogszabály / megkeresés megjelölése: .........................................................

3. A címzett adatai

Címzett neve: .........................................................

Címzett típusa:

☐ hatóság

☐ bíróság

☐ más szerv

☐ egyéb: .........................................................

Kapcsolattartó (ha van): .........................................................

4. Az érintettek köre

.........................................................

5. A továbbított adatok köre

1. .........................................................

2. .........................................................

3. .........................................................

6. Az adatszolgáltatás célja

.........................................................

7. Az adatszolgáltatás módja

☐ elektronikus (e-mail / rendszer)

☐ papír alapú

☐ személyes átadás

☐ egyéb: .........................................................

8. Megjegyzés

.........................................................

9. Rögzítette

Név: .........................................................

Beosztás: .........................................................

Dátum: .........................................................

Aláírás: .........................................................

Megjegyzés

Az adatszolgáltatási nyilvántartás az Adatkezelő adatkezelési rendszerének részét képezi, és az Adatkezelési és Adatbiztonsági Szabályzattal együtt értelmezendő.

Adatvédelmi és adatbiztonsági szabályzat 6.sz. melléklete

ADATKEZELÉSI NYILVÁNTARTÁS

1. Az adatkezelő adatai

Adatkezelő neve: .........................................................

Elérhetősége: .........................................................

Képviselő neve: .........................................................

Elérhetősége: .........................................................

Adatvédelmi tisztviselő neve: .........................................................

Elérhetősége: .........................................................

2. Az adatkezelési tevékenység megnevezése

Adatkezelési tevékenység megnevezése: .........................................................

Az adatkezelési tevékenység leírása: (a személyes adatokkal végzett műveletek ismertetése)

.........................................................

3. Az érintettek köre

.........................................................

4. Az adatkezelés célja

.........................................................

5. A kezelt adatok köre

Személyes adatok:

.........................................................

.........................................................

Különleges adatok (ha van): .........................................................

6. Az adatkezelés jogalapja

☐ érintett hozzájárulása

☐ szerződés teljesítése

☐ jogi kötelezettség

☐ jogos érdek

☐ egyéb: .........................................................

Vonatkozó jogszabály (ha releváns): .........................................................

7. Az adatkezelés jellemzői

Az adatkezelés módja:

☐ manuális

☐ elektronikus

☐ vegyes

Elektronikus rendszer támogatja:

☐ igen

☐ nem

8. Adattovábbítások

Történik adattovábbítás:

☐ igen

☐ nem

Ha igen:

Címzett: .........................................................

Címzett típusa: ☐ adatfeldolgozó ☐ önálló adatkezelő

Adattovábbítás célja: .........................................................

Jogalapja: .........................................................

9. Nemzetközi adattovábbítás

Történik EU-n kívüli adattovábbítás:

☐ igen

☐ nem

Ha igen:

Célország: .........................................................

Alkalmazott garancia: .........................................................

10. Adatfeldolgozók / közös adatkezelés

Adatfeldolgozó igénybevétele:

☐ igen

☐ nem

Adatfeldolgozó neve és elérhetősége:

.........................................................

Közös adatkezelés:

☐ igen

☐ nem

11. Az adatkezelés helye

.........................................................

12. Az adatkezelés időtartama

.........................................................

Törlési határidő: .........................................................

13. Az érintettek tájékoztatása

Az érintettek megfelelő tájékoztatást kaptak:

☐ igen

☐ nem

Tájékoztatás módja:

.........................................................

14. Adatbiztonsági intézkedések

Az adatkezelő az alábbi intézkedéseket alkalmazza:

• hozzáférés-szabályozás

• jelszóvédelem

• titkosítás (ha releváns)

• biztonsági mentések

• naplózás

Egyéb intézkedések:

.........................................................

15. Megjegyzések

.........................................................

Záró megjegyzés

Jelen nyilvántartás az adatkezelő GDPR szerinti elszámoltathatósági kötelezettségének teljesítését szolgálja, és az Adatkezelési és Adatbiztonsági Szabályzat részét képezi.