ADATVÉDELMI SZABÁLYZAT
Tóth Nóra egyéni vállalkozó
Hatályos 2018. május 25-től
Tartalom
1. BEVEZETÉS ..........................................................................................................................................................3
1.1 A DOKUMENTUM CÉLJA ............................................................................................................................... 4
1.2 A DOKUMENTUM SZERVEZETI HATÁLYA ............................................................................................................ 4
1.3 A DOKUMENTUM TÁRGYI HATÁLYA ................................................................................................................. 4
1.4 A DOKUMENTUM SZEMÉLYI HATÁLYA .............................................................................................................. 4
1.5 AZ AVSZ JOGSZABÁLYI ALAPJA ...................................................................................................................... 4
1.6 KIADÁS DÁTUMA, ÉRVÉNYESSÉGE ................................................................................................................... 5
2. AZ ADATVÉDELEM SZERVEZETI KÉRDÉSEI............................................................................................................6
2.1 ÁLTALÁNOS SZABÁLYOK ............................................................................................................................... 6
2.2 AZ ADATKEZELÉST VÉGZŐ SZEMÉLY.................................................................................................................. 6
2.3 BELSŐ ADATVÉDELMI NYILVÁNTARTÁS ............................................................................................................. 6
3. AZ ADATKEZELÉS SZABÁLYAI...............................................................................................................................7
3.1 SZEMÉLYES ÉS KÜLÖNLEGES ADATOK KEZELÉSE ................................................................................................... 7
3.2 KÖZÉRDEKŰ ADATOK KEZELÉSE....................................................................................................................... 7
3.3 AZ ADATBIZTONSÁG ÁLTALÁNOS SZEMPONTJAI .................................................................................................. 7
3.4 AZ ADATOKHOZ VALÓ HOZZÁFÉRÉS SZABÁLYOZÁSA.............................................................................................. 7
3.5 AZ ADATOK MENTÉSE, AZ ADATHORDOZÓK BIZTONSÁGA....................................................................................... 8
3.6 MANUÁLIS KEZELÉSŰ ADATOK ....................................................................................................................... 8
3.7 TÖRVÉNYILEG SZABÁLYOZOTT ADATKEZELÉSEK ................................................................................................... 8
3.8 FELELŐSSÉG.............................................................................................................................................. 8
4. AZ INFORMATIKAI RENDSZER BIZTONSÁGA........................................................................................................9
4.1 A FELHASZNÁLÓ ........................................................................................................................................ 9
4.2 A FELHASZNÁLÓI JELSZÓKEZELÉS..................................................................................................................... 9
4.3 FELHASZNÁLÓI BIZTONSÁGI KÖVETELMÉNYEK..................................................................................................... 9
4.4 ADATMENTÉS............................................................................................................................................ 9
4.4.1 Információk biztonsági mentése ................................................................................................... 9
4.4.2 A betegnyilvántartó rendszer mentési eljárása.............................................................................. 9
4.5 FELELŐSSÉG.............................................................................................................................................. 9
5. INCIDENSKEZELÉS..............................................................................................................................................10
5.1 BEJELENTÉSI KÖTELEZETTSÉG........................................................................................................................10
5.2 AZ ÉRINTETT TÁJÉKOZTATÁSA AZ ADATVÉDELMI INCIDENSRŐL ...............................................................................10
5.3 FELELŐSSÉG.............................................................................................................................................10
6. ADATKEZELÉSI KÉRÉS- ÉS PANASZKEZELÉS ........................................................................................................11
6.1 ALAPELVEK ..............................................................................................................................................11
6.2 AZ ÉRINTETT JOGAI ....................................................................................................................................11
6.3 FELELŐSSÉG.............................................................................................................................................12
7. DOKUMENTUM TÖRTÉNET ...............................................................................................................................13
1. Bevezetés
Jelen dokumentum Tóth Nóra (továbbiakban vállalkozó) adatvédelmi szabályzata (a továbbiakban AVSZ) az Európai Parlament és a Tanács (EU) 2016/679 rendeletében és a kapcsolódó jogszabályokban – különös tekintettel az 1997. évi CLIV. törvényre az egészségügyről, valamint az 1997. évi XLVII. törvényre az egészségügyi és a hozzájuk kapcsolódó személyes adatok védelméről – meghatározottak szerint.
A vállalkozó ezen dokumentum által kijelenti, hogy a személyes adatok kezelését csak meghatározott, egyértelmű és jogszerű célból, és csak a szükséges mértékben, az adatkezelési tájékoztatóban foglaltak szerint végzi és betartja a vonatkozó jogszabályok előírásait. Teljes mértékben meg kíván felelni a személyes adatok kezelésére vonatkozó jogszabály előírásoknak, különösen az Európai Parlament és a Tanács (EU) 2016/679 rendeletében (GDPR rendelet) foglaltaknak. Ez az adatkezelési tájékoztató a természetes személyek személyes adatai védelméről és az adatok szabad áramlásáról az Európai Parlament és a Tanács (EU) 2016/679 rendelete alapján készült, figyelemmel a 2011. évi CXII. törvény tartalmára, amely az információs önrendelkezési jogról és az információszabadságról szól.
Kérem, figyelmesen olvassa el a dokumetnumot annak érdekében, hogy megértse, a vállalkozó hogyan kezeli a személyes adatait és megismerje az adatkezeléssel kapcsolatos jogait. A vállalkozó adatkezelőként tiszteletben tartja mindazon személyek magánszféráját, akik számára személyes adatot adnak át és elkötelezett ezek védelmében. Az Európai Unió Általános Adatvédelmi Rendelet (679/2016 sz. rendelet, a továbbiakban: GDPR) 13. cikke alapján az alábbi kötelező tájékoztatást adom.
Az Adatkezelő adatai:
Cégnév: Tóth Nóra
Székhely: 5630, Békés, Szarvasi út 2. 2/9.
Szolgáltatás helye: Békéscsaba, Budapest, Online
Weboldal: www.facebook.com/norahcoachingofficial valamint www.instagram.com/norahcoaching Telefon: +36 70 770 67 48
E-mail: norahcoaching@gmail.com
Adatvédelmi Tisztviselő: Az adatkezelő a GDPR 37. cikke alapján nem köteles adatvédelmi tisztviselő kinevezésére
Adatvédelmi kérelmek: Amennyiben bármilyen kérése vagy kérdése van az adatkezeléssel kapcsolatban, kérelmét postai úton vagy elektronikus levés formájában a fent megjelölt címekre küldheti el. Válaszomat késedelem nélkül, de legfeljebb 30 napon belül küldöm az Ön által kért postai vagy elektronikus postai címre.
Adatfeldolgozás: Adatfeldolgozó igénybevétele nem történik.
Külföldi adattovábbítás: Nem történik külföldre továbbítás.
Fogalmak meghatározása:
∙ a GDPR(General Data Protection Regulation) az Európai Unió új Adatvédelmi Rendelete; ∙ adatkezelés: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
∙ adatfeldolgozó: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel;
∙ személyes adat: azonosított vagy azonosítható természetes személyre (érintett) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi,
fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
∙ adatkezelő: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;
∙ az érintett hozzájárulása: az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez;
∙ adatvédelmi incidens: a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
∙ címzett: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Azon közhatalmi szervek, amelyek egy egyedi vizsgálat keretében az uniós vagy a tagállami joggal összhangban férhetnek hozzá személyes adatokhoz, nem minősülnek címzettnek; az említett adatok e közhatalmi szervek általi kezelése meg kell, hogy feleljen az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályoknak;
∙ harmadik fél: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely nem azonos az érintettel, az adatkezelővel, az adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak.
1.1 A dokumentum célja
Az AVSZ célja a személyes adatok kezelése és védelme követelményrendszerének és környezetének meghatározása Tóth Nóra egyéni vállalkozó munkájában. A szabályzat rögzíti az adatkezelés folyamatát, a biztonsági intézkedéseket, azok dokumentálásának és ellenőrzésének feladatait és ezek végrehajtásának idejét, valamint az ehhez szükséges egyes szerepköröket.
1.2 A dokumentum szervezeti hatálya
Az AVSZ kiterjed a vállalkozó információkezeléssel- és feldolgozással kapcsolatos összes folyamatára és tevékenységére és a vállalkozó tulajdonában vagy használatában lévő elektronikus információs rendszerekben előforduló adatokra.
1.3 A dokumentum tárgyi hatálya
Jelen dokumentum tárgyi hatálya kiterjed a vállalkozó rendelőiben, telephelyein és fióktelepein található összes üzemelő, használatban lévő vagy a jövőben bevezetett, alkalmazott informatikai eszközre, rendszerre, a teljes, digitálisan és papíron tárolt egészségügyi dokumentációra, valamint a digitális- és papíralapú archívumokra és az azok tárolására szolgáló helyiségekre.
1.4 A dokumentum személyi hatálya
Az elfogadott AVSZ vonatkozik a vállalkozó szerződéses, vagy más módon kapcsolatba kerülő természetes vagy jogi személyekre, gazdasági társaságokra a velük kötött megállapodás révén.
Az AVSZ személyi hatálya kiterjed a vállalkozó személyére és az általa használt rendszerek fejlesztőire, üzemeltetőire.
1.5 Az AVSZ jogszabályi alapja
- az Európai parlament és a Tanács (EU) 2016/679 rendelete a természetes személyek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról (a továbbiakban: GDPR);
- az 1997. évi CLIV. törvényre az egészségügyről;
- az 1997. évi XLVII. törvényre az egészségügyi és a hozzájuk kapcsolódó személyes adatok védelméről;
- a polgárok személyi adatainak és lakcímének nyilvántartásáról szóló 1992. évi LXVI. Törvény.
1.6 Kiadás dátuma, érvényessége
Jelen szabályzat a kiadás napján lép hatályba, és mindaddig érvényesnek tekintendő, amíg annak egy új változata jóváhagyásra nem kerül.
Az AVSZ írásos formában minden érintett számára elérhető a vállalkozó rendelőjében, illetve elektronikus formában a rendelői szerveren.
2. Az adatvédelem szervezeti kérdései
Az adatvédelmi tisztviselő, adatvédelmi felelős, adatkezelők, adatfeldolgozók felsorolását a 2. sz melléklet tartalmazza.
Cél: Az adatbiztonsági feladatok ellátására és ellenőrzésére azonosítható szerepkörök álljanak rendelkezésre.
2.1 Általános szabályok
A vállalkozó a szabályzatban megfogalmazott világos iránymutatással, elkötelezettsége kinyilvánításával, az adatvédelemmel összefüggő felelősségi körök egyértelmű kijelölésével és elismerésével aktív módon támogatja a személyes adatok jogszabályoknak megfelelő kezelését a szervezeten belül.
2.2 Az adatkezelést végző személy
(1) Tevékenységi körén belül felelős az adatok feldolgozásáért, megváltoztatásáért, törléséért, továbbításáért és nyilvánosságra hozataláért, valamint az adatok pontos, követhető dokumentálásáért,
(2) Kezeli és megőrzi a feladata ellátása során birtokába került adatokat,
(3) Ügyel a nyilvántartások biztonságos kezelésére és tárolására,
(4) Gondoskodik arról, hogy az általa vezetett nyilvántartások adataihoz illetéktelen személy ne férhessen hozzá.
2.3 Belső adatvédelmi nyilvántartás
A belső adatvédelmi nyilvántartás a vállalkozó rendelőjében és telephelyén történő, a GDPR előírásai alá tartozó adatkezelésekkel kapcsolatban tartalmazza:
-az adatkezelés célját,
-az adatok fajtáját és kezelésük jogalapját,
-az érintettek körét,
-az adat forrását,
-az esetleges adattovábbítások fajtáját, címzettjét és a továbbítás jogalapját,
-az egyes adatfajták törlésének határidejét.
3. Az adatkezelés szabályai
3.1 Személyes és különleges adatok kezelése
A vállalkozó a betegelőjegyzés, betegnyilvántartás és betegellátás során személyes és különleges – egészségügyi dokumentáció – adatokat kezel. Az adatkezelés jogalapja minden eseteben az érintett hozzájárulása, valamint a vonatkozó jogszabályok.
Az érintett az adatkezelőtől tájékoztatást kérhet személyes és különleges adatai kezeléséről, és az adatokba bele is tekinthet. A betekintést úgy kell biztosítani, hogy az érintett más személy adatait ne ismerhesse meg.
Az érintett kérelmére az adatkezelő tájékoztatást ad az általa kezelt adatairól, az adatkezelés céljáról, jogalapjáról, időtartamáról, továbbá arról, hogy kik és milyen célból kapták meg az adatokat.
Adatváltozás vagy téves adatrögzítés észlelése esetén az érintett írásban vagy szóban kérheti kezelt adatainak helyesbítését, illetve kijavítását. A téves adatot az adatkezelő indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül helyesbíteni köteles. (GDPR (59)
A személyes adatok és az egészségügyi dokumentáció (képalkotó diagnosztikai felvétel, lelet) az érintett hozzájárulásával továbbíthatók 3. fél – másik egészségügyi szolgáltató részére – részére.
Az adattovábbítás papír alapon vagy elektronikus úton történhet.
Az érintett az adatkezeléssel kapcsolatos jogainak megsértése esetén az illetékes szervezeti egység vezetőjéhez, illetve az adatvédelmi felelőshöz fordulhat.
3.2 Közérdekű adatok kezelése
(1) A vállalkozó kezelésében lévő közérdekű adatot bárki megismerheti az állami és szolgálati titok kivételével.
(2) A közérdekű adat megismerésére irányuló kérelemnek 15 napon belül eleget kell tenni.
(3) Amennyiben a közérdekű adat megismerésére irányuló kérelem nem teljesíthető, a kérelem megtagadásáról és indokairól 8 napon belül írásban értesíteni kell a kérelmezőt.
(4) Amennyiben törvény másként nem rendelkezik a belső használatra készült, valamint a döntés előkészítéssel összefüggő adat a kezelését követő húsz éven belül nem nyilvános. Kérelemre az adatok megismerését a vállalkozó e határidőn belül is engedélyezheti.
3.3 Az adatbiztonság általános szempontjai
(1) Az adatkezelő köteles gondoskodni az általa kezelt adatok biztonságáról.
(2) Az adatokat védeni kell a jogosulatlan hozzáférés, a megváltoztatás, a továbbítás, a nyilvánosságra hozatal, a törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés ellen.
(3) Adatkarbantartást csak az erre felhatalmazott adatkezelő végezhet.
(4) A számítástechnikai rendszerek üzemeltetését segítő szakemberek a feladataik ellátásához szükséges mértékig az adatállományokhoz hozzáférhetnek, az adatokat azonban más célra nem használhatják fel, és mások tudomására nem hozhatják.
(5) Az adatbiztonság érdekében megfogalmazott előírások betartásáért a betegnyilvántartó rendszer vonatkozásában és a rendeléseken történő adatkezelési folyamatok vonatkozásában a vállalkozó felelős.
3.4 Az adatokhoz való hozzáférés szabályozása
(1) Az elektronikusan tárolt adatokhoz való hozzáférést jelszavas, ujjlenyomatos védelemmel és jogosultsági rendszer működtetésével szabályozzuk.
(2) A betegnyilvántartó rendszerhez való hozzáférés jelszavait és jogosultsági rendszerét a vállalkozó állítja be és kezeli az informatikai folyamatok fejezet(ek)ben leírtak szerint.
(3) A papír alapú egészségügyi dokumentációt a telephelyen, zárral ellátot szekrényben kell tárolni. Rendelési időben az 1. sz. Mellékletben felsorolt adatkezelők hozzáférhetnek az adatokhoz.
3.5 Az adatok mentése, az adathordozók biztonsága
(1) Az adatok mentésének és az adathordozók biztonságának általános szempontjait jelen AVSZ pontja rögzíti.
(2) A laptopon tárolt adatok rendszeres biztonsági mentését a vállalkozó végzi.
3.6 Manuális kezelésű adatok
A vállalkozó rendelőiben az egészségügyi dokumentációt csak az arra jogosultsággal rendelkezők kezelhetik.
A folyamatos aktív kezelésben lévő dokumentációhoz a feldolgozás során csak a vállalkozó férhetek hozzá. Az papír alapú dokumentációt zárható helyiségben, kell védeni az illetéktelen hozzáféréstől.
A passzív kezelésben lévő dokumentáció archiválását évente el kell végezni. Az archivált iratokat zárható, erre a célra kialakított helyiségben kell tárolni.
A jogszabály által előírt megőrzési idő lejártával a papíralapú dokumentációt a vállalkozó saját hatáskörben megsemmisíti.
3.7 Törvényileg szabályozott adatkezelések
A vállalkozó az alábbi törvényi kötelezettségek alapján őrzi meg a személyes adatokat:
Egészségügyi dokumentáció: az ellátottak egészségügyi adatait tartalmazó dokumentumokat az egészségügyi adatokról szóló 1997. évi XLVII törvény alapján kötelező megőrizni.
A számlázási adatokat az adó megállapításához való jog elévüléséig, vagyis 5 évig kell megőrizni.
3.8 Felelősség
A rendelőben irányadó adatvédelmi szabályok megfelelőségéért, azok elérhetőségéért és a szabályok betartásáért a vállalkozó felel.
4. Az informatikai rendszer biztonsága
4.1 A Felhasználó
Felhasználó: Tóth Nóra egyéni vállalkozó
Külső felhasználó: a szerződés alapján jogosult egészségügyi szolgáltató(k) (természetes személyek vagy gazdasági társaság) a külső felek a vállalkozó biztonsági szabályainak és elvárásainak betartása mellett férhetnek hozzá a vállalkozó elektronikus információs rendszeréhez.
A külső felhasználók hozzáférését a hozzáférés indokának megszűnte után azonnal, ill. az együttműködés lejártakor automatikusan meg kell szüntetni.
4.2 A felhasználói jelszókezelés
A jelszavak felhasználói kezelését szabályozni kell, figyelve arra, hogy a jelszavak titokban maradjanak. Az elektronikusan tárolt adatokat ujjlenyomat olvasó rendszer is védi. Annak érdekében, hogy a jelszavakkal történő hitelesítés kellően megbízható legyen, gondoskodni kell arról, hogy:
a) a jelszavak legalább 6 karakterből álljanak,
b) lehetőleg vegyesen kis és nagybetűket, számokat és írásjeleket is tartalmazzanak, Tilos a jelszót:
a) más tudomására hozni,
b) más számára ismert vagy hozzáférhető, vagy látható helyen (pl. monitororra ragasztva) tárolni, c) úgy megválasztani, hogy az adott személyre jellemző és ezért könnyen kitalálható legyen.
4.3 Felhasználói biztonsági követelmények
A hálózati bejelentkezéshez a felhasználónak felhasználónévvel és jelszóval kell azonosítania magát.
A felhasználó csak az aktuális munkához szükséges dokumentumokat tartja az asztalon/képernyőn, és nem hagyja ezeket a dokumentumokat, adatokat felügyelet nélküli hozzáférhető helyen.
4.4 Adatmentés
Cél: Az elviselhetetlen mértékű adatvesztés megakadályozása, és az elvárt időn belüli adatvisszaállítás biztosítása.
4.4.1 Információk biztonsági mentése
Minden, a vállalkozó kezelésében vagy használatában lévő, elektronikus formában tárolt információról biztonsági mentéseket kell készíteni.
4.4.2 A betegnyilvántartó rendszer mentési eljárása
Biztonsági mentéseknek kell készülnie az online elérhető (éles, tartalék, teszt) adatbázisokról és fájlrendszer könyvtárakról.
4.5 Felelősség
Az adatmentések felelőssége a vállalkozó hatáskörébe tartozik.
5. Incidenskezelés
Amennyiben a vállalkozó az információbiztonsági szabályok megsértéséről tudomást szerez, minősíti az incidenst a körülmények ismeretében. A vállalkozó az incidens súlyának ismeretében dönt a következményekről, az incidens kezeléséről a hibák javításáról.
5.1 Bejelentési kötelezettség
Amennyiben felmerül a gyanú, hogy a vállalkozó rendszere számítógépes biztonsági incidens áldozatává vált, vagy éppen ennek folyamata alatt van, akkor a jogszabályokban meghatározott esemény bejelentési kötelezettség mellett be kell jelenteni ezen incidens tényét és fel kell venni a kapcsolatot az érintett, külön jogszabályban meghatározott szervekkel is.
Amint a vállalkozó tudomására jut egy esetleges adatvédelmi incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomásukra jutott, bejelenteni köteles az illetékes felügyeleti hatóságnál, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudják, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés 72 órán belül nem tehető meg, abban meg kell jelölni a késedelem okát, az előírt információkat pedig – további indokolatlan késedelem nélkül – részletekben is közölni lehet.
Az adatvédelmi incidensről szóló bejelentést a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) mindenkori kapcsolati pontjára (http://naih.hu/uegyfelszolgalat,--kapcsolat.html) kell eljuttatni.
A vállalkozó nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket.
5.2 Az érintett tájékoztatása az adatvédelmi incidensről
Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a vállalkozó indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.
Az érintettet nem kell tájékoztatni, ha a következő feltételek bármelyike teljesül:
a) A vállalkozó megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazták, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat;
b) a vállalkozó az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, az említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg;
c) a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetekben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.
5.3 Felelősség
Az adatvédelmi incidensek kezelése a vállalkozó hatáskörébe tartozik.
6. Adatkezelési kérés- és panaszkezelés
Cél: Gondoskodni arról, hogy a vállalkozó által kezelt személyes adatokról az érintett adatalanyok a megfelelő hatékonysággal és minőségben kapjanak információt és segítséget.
6.1 Alapelvek
Kérés vagy panasz esetén a vállalkozó indokolatlan késedelem nélkül, de mindenféleképpen a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet a kérelem nyomán hozott intézkedésekről. Szükség esetén, figyelembe véve a kérelem összetettségét és a kérelmek számát, ez a határidő további két hónappal meghosszabbítható.
A vállalkozó a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a) az adatvédelmi tisztviselő elérhetőségei; Nemzeti Adatvédelmi és Információszabadság Hatóság (1125 Budapest, Szilágyi Erzsébet fasor 22/C) ugyfelszolgalat@naih.hu.
b) a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
c) a vállalkozó vagy harmadik fél jogos érdekei, ha van ilyen;
d) adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen.
6.2 Az érintett jogai
A személyes adataihoz kapcsolódóan Önnek a jogszabályban meghatározott jogai vannak. Amennyiben ezekhez kapcsolódóan további információt szeretne kapni vagy bármelyikkel élni kíván, bármikor kapcsolatba léphet a vállalkozóval.
Érintetti jogok:
a) hozzáférés, az Önre vonatkozó, általam kezelt adathoz;
b) amennyiben egy adat elavult vagy helytelen, ennek kiigazítása, javítása;
c) az Önre vonatkozó általam kezelt adat törlése, ez a jog kizárólag a kapcsolattartási adatokra vonatkozik; d) az adat kezelésének korlátozása;
e) az Ön személyes adatának direkt marketing célokra való használatának megtiltása;
f) személyes adatainak harmadik személy szolgáltató számára történő átadása, vagy ennek megtiltása; g) bármely Önre vonatkozó, általam kezelt személyes adatról másolat adása;
h) tiltakozás a személyes adatok általam történő használata ellen.
A vállalkozó egészségügyi dokumentációt kezel, melynek megőrzésére és kezelésére a már említett jogszabályok irányadók. Az érintett jogait ezen jogszabályokkal összhangban tudja gyakorolni (pl. nem törölhető adat, amennyiben nem járt le a jogszabályban előírt kötelező megőrzési idő).
Az érintett jogosult arra, hogy a vállalkozó visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:
a) az adatkezelés céljai;
b) az érintett személyes adatok kategóriái;
c) azon címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják;
d) adott esetben a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
e) az érintett azon joga, hogy kérelmezheti a vállalkozótól a rá vonatkozó személyes adatok helyesbítését és törlését a jogszabályban előírt megőrzési időn túl;
f) a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
A vállalkozó az adatkezelés tárgyát képező személyes adatok másolatát az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért a vállalkozó az adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri.
Az érintett jogosult arra, hogy kérésére a vállalkozó indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat.
Az érintett jogosult arra, hogy a rá vonatkozó, általa a vállalkozó rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa.
6.3 Felelősség
A kérés- és panaszkezelés koordinálása és végrehajtása a vállalkozó hatáskörébe tartozik.
7. Dokumentum történet
|
Dátum |
Verzió |
Módosította |
Módosítás oka |
|
2018. 05. 22 |
1.0 |
Tóth Nóra |
Ez a dokumentum első változata |