Adatvédelmi Szabályzat

Szabályzat azonosítója: MVK-SZ-003
Szabályzat hatálya: Országos hatáskörű dokumentum
Szabályzat hatálybalépése: 2019. március 1.

 

I. Általános rendelkezések

1.1. A tevékenységet meghatározó jogszabályok, dokumentumok:

(1) Az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény – továbbiakban Adatvédelmi törvény.

(2) Az Európai Parlament és a Tanács (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) – továbbiakban GDPR.

(3) A Magyar Vöröskereszt Szervezeti és Működési Szabályzata (MVK-SZ-002).

(4) A Magyar Vöröskereszt Adománykezelési Szabályzata (MVK-SZ-004).

(5) A Magyar Vöröskereszt Iratkezelési Szabályzat (MVK-SZ-012).

(6) A Magyar Vöröskereszt Képzési, Továbbképzési Szabályzata (MVK-SZ-014).

(7) A Magyar Vöröskereszt Kitüntetési Szabályzata (MVK-SZ-017).

(8) A Magyar Vöröskereszt Munkaügyi Szabályzata (MVK-SZ-021).

(9) A Magyar Vöröskereszt Önkéntesek foglalkoztatására vonatkozó Szabályzata (MVK-SZ-024).

(10) A Magyar Vöröskereszt Tagnyilvántartásra vonatkozó Szabályzata (MVK-SZ-030).

(11) A Magyar Vöröskereszt Választási Szabályzata (MVK-SZ-033).

(12) A Magyar Vöröskereszt Véradásszervezési Szabályzata (MVK-SZ-034).

(13) A Magyar Vöröskereszt Ellenőrzési Szabályzata (MVK-SZ-035).

 

1.2. A szabályzat hatálya:

(1) A szabályzat személyi hatálya kiterjed:
a) a Magyar Vöröskereszt mindazon munkavállalóira és önkénteseire, akik a szervezeten belül adatkezelést végeznek vagy munkakörük azzal összefüggésbe hozható;
b) azon személyekre akik adatai jelen szabályzat hatálya alá tartozó adatkezelések tartalmazzák;
c) azon személyekre akik jogait vagy jogos érdekét az adatkezelés érinti.

(2) A szabályzat tárgyi hatálya kiterjed az adatkezelő minden szervezeti egységében folytatott valamennyi személyes adatokat tartalmazó adatkezelésre, függetlenül attól, hogy az elektronikusan és/vagy papíralapon történik.

 

1.3. A szabályzat célja:

(1) A szabályzat célja, hogy meghatározza a Magyar Vöröskereszten belül vezetett nyilvántartások működésének törvényes rendjét, valamint biztosítsa az adatvédelem alkotmányos elveinek, az adatbiztonság követelményeinek érvényesülését, s megakadályozza a jogosulatlan hozzáférést, az adatok megváltoztatását és jogosulatlan nyilvánosságra hozatalát.

II. GDPR alapelvek

2.1. Bevezetés:

(1) A GDPR a személyes adatok kezelésére vonatkozóan alapelveket határoz meg, az alapelvek teljesüléséhez pedig részletes követelményrendszert állapít meg.

(2) A GDPR hét alapelvet ír le, ezek a személyes adatok kezelése során együttesen alkalmazandók. Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az adatvédelem elveit az anonim információkra nem kell alkalmazni, maga a GDPR rendelet ezért nem vonatkozik az anonim információk kezelésére, ideértve a statisztikai vagy kutatási célú adatkezelést is.

 

2.2. Jogszerűség, tisztességesség, átláthatóság elve:

(1) Annak érdekében, hogy a személyes adatok kezelése jogszerű legyen, annak az érintett hozzájárulásán kell alapulnia, vagy valamely egyéb jogszerű, jogszabály által megállapított – akár GDPR-ban, akár más uniós vagy magyar jogban foglalt – alappal kell rendelkeznie, ideértve az adatkezelőre vonatkozó jogi kötelezettségeknek való megfelelés szükségességét, az érintett által kötött esetleges szerződés teljesítését, illetve az érintett által kért, a szerződéskötést megelőzően megteendő lépéseket.

(2) A személyes adatok kezeléséhez kapcsolódóan hat esetet sorol fel a rendelet, az adatkezelés kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a) az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
b) az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
c) az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
d) az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
e) az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
f) az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

(3) Jogi kötelezettség teljesítése: Ha az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. E tekintetben elegendő, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az adatkezelőre vonatkozó jogi kötelezettségen alapul, illetve amelyre közérdekből végzett feladat ellátásához vagy közhatalmi jogosítvány gyakorlásához van szükség. Az adatkezelésre vonatkozóan a tagállami jogban kell meghatározni a részletes szabályokat, a tagállami jogforrások a személyes adatok kezelésének jogszerűségére vonatkozó általános feltételeit pontosíthatják, az adatkezelő megjelölésére vonatkozó pontos szabályokat, az adatkezelés tárgyát képező személyes adatok típusát, az érintetteket, azokat a szervezeteket, amelyekkel a személyes adatok közölhetők, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát, valamint egyéb, a jogszerű és tisztességes adatkezelés biztosításához szükséges intézkedéseket is meghatározhatják.

(4) A GDPR alapvetően az érintett hozzájárulását tekint az adatkezelés alapjának, de összességében nem ez a legerősebb jogalap. Jogszabályi alapon megvalósuló adatkezelés esetén a jogszabályi rendelkezés önmagában elégséges, bár a tájékoztatás itt is alapvető kötelezettsége az adatkezelőnek, hozzájárulást a jogszabályi kötelezettségben meghatározott adatkezeléshez nem kell külön nyilatkozaton kérnie. Ez azokban ez esetekben lehet szükséges, ha a jogszabályban rögzítetteken túl további adatokat kér az adatkezelő, vagy a jogszabályon túli célok megvalósításához szükségesek a kért adatok. Ezen esetekben ugyanakkor az adatkezelés más alapelveit (pl. a célhoz kötöttség elvét) is figyelembe kell venni, mert azokkal sem kerülhet ütközésbe az adatkezelés.

(5) Hozzájárulás: Ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Ezért az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, emellett nem tartalmazhat tisztességtelen feltételeket.

A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna.

A hozzájárulás nem vonatkozhat olyan adatkezelésre, amelyet jogszabály tilt, személyes nyilatkozattal a jogszabály rendelkezése nem írható felül.

A hozzájárulás olyan esetekben nem szolgálhat érvényes jogalapként a személyes adatok kezeléséhez, amelyekben az érintett és az adatkezelő között egyértelműen egyenlőtlen viszony áll fenn, különösen ha az adatkezelő közhatalmi szerv, és az adott helyzet valamennyi körülményét figyelembe véve ezért valószínűtlen, hogy a szóban forgó hozzájárulás megadása önkéntesen történt.

(6) Szerződéskötés: Az adatkezelés jogszerűnek minősül, ha arra valamely szerződés vagy szerződéskötési szándék keretében van szükség, addig a határig, amíg az adatkezelés a szerződés teljesüléséhez szükséges.

(7) Érdek alapú adatkezelés: Az adatkezelési jogalapok harmadik csoportja az érdekeltségre való hivatkozásra épül. Az adatkezelő vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll.

Az adatkezelést jogszerűnek kell tekinteni akkor is, amikor az az érintett életének vagy más fent említett természetes személy érdekeinek védelmében történik. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre elvben csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető.

(8) Átláthatóság: A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg.

Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról.

A természetes személyt a személyes adatok kezelésével összefüggő kockázatokról, szabályokról, garanciákról és jogokról tájékoztatni kell, valamint arról, hogy hogyan gyakorolhatja az adatkezelés kapcsán megillető jogokat. A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük.

 

2.3. Célhoz kötöttség elve:

(1) A „célhoz kötöttség” elve, mely kimondja, hogy a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon.

(2) A célok meghatározása során a jogszerűség esetében meghatározott eseteknek megfelelően kell az alátámasztást igazolni. Az adatkezelés célját az adatfelvétel előtt pontosan meg kell határozni, ettől eltérni nem lehet (vagy eltérés esetén az új feltételeknek megfelelően kell tájékoztatást nyújtani). Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni, illetve mennyiben az adatkezelési célokat jogszabály vagy egyéb feltétel alapozza meg, akkor a célokat külön-külön igazolni kell az adatkezelőnek.

(3) Az elv kimondja, hogy személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni, vagyis a cél elérésére ténylegesen szükség van az adatok kezelésére. Az adatkezelőnek  haladéktalanul  törölni  az érintett személyes adatait, ha az adatkezelés célja  megszűnt, vagy az adatok további kezelése már nem szükséges az adatkezelés céljának megvalósulásához (ennek ágazatban való gyakorlati megvalósulása kérdéses). Az adatkezelés során csak a cél megvalósulásához szükséges mennyiségben és mértékben kezelhetők az adatok.

(4) A személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését.

(5) Annak megállapításához, hogy a további adatkezelés célja összeegyeztethető-e a személyes adatok gyűjtésének eredeti céljával, az adatkezelő figyelembe veszi többek között minden, az említett eredeti célok és a tervezett további adatkezelési célok között fennálló összefüggést, az adatgyűjtés körülményeit, ideértve különösen az érintettnek a további adatfelhasználásra vonatkozó, az adatkezelővel fennálló kapcsolatán alapuló észszerű elvárásait is, továbbá a személyes adatok jellegét, a tervezett további adatkezelés következményeit az érintettekre nézve, valamint a megfelelő garanciák meglétét mind az eredeti, mind a tervezett további személyesadat-kezelési műveletek során.

(6) Nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés, ezért az ilyen jellegű adatkezelést jogszerű adatkezelési műveleteknek kell tekinteni, nem igényel külön hozzájárulást sem.

 

2.4. Az adattakarékosság elve:

(1) Az adattakarékosság elve szerint a kezelt adatoknak az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a kezelt adatok körét és a kezelés mértékét pedig a célhoz szükséges minimumra kell korlátozni.

(2) A GDPR és a hazai szabályozás is hangsúlyozza, hogy az adatkezelőnek az adatkezelés rendszerét úgy kell kialakítania, hogy az adatvédelmi alapelveket megvalósítsa, figyelembe véve az adatkezelés technikai lehetőségeit, a kezelés különböző módszereinek költségeit, munkaigényét, egyéb körülményeit. Az adatkezelés során olyan rendszert kell kialakítani, amely a cél szempontjából hatékony és megfelelő biztonsági szintet képvisel.

(3) Ahhoz, hogy az adattakarékosság elve megfelelően alkalmazható legyen, a jogszerűség és a célhoz kötöttség elvét tisztán kell tudni alkalmazni, vagyis az adatkezelőnek (illetve az adatkezelésre felhatalmazást adó jogalkotónak) tisztában kell lennie az adatkezelés céljával és azt megfelelően alá is kell tudni támasztani, ez alapján dönthető el, hogy a kitűzött célhoz milyen adatok kezelésére van szükség.

2.5. Pontosság elve:

(1) Az elv szerint a személyes adatoknak pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék.

(2) A pontosság elvéből következik a helyesbítéshez való jog. Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

(3) A pontatlanság az adatkezelés korlátozását is eredményezheti: az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát.

2.6. Korlátozott tárolhatóság:

(1) Az alapelv szerint a személyes adatok tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. A személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor. A tárolás során az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedéseket végrehajtva kell eljárni.

(2) Az adatkezelőnek biztosítania kell azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Ennek érdekében az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket kell megállapítson.

2.7. Integritás és bizalmasság elve:

(1) Integritás: A GDPR rögzíti, hogy a személyes adatok kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve. A személyes adatokat olyan módon kell kezelni, amely biztosítja azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok jogosulatlan felhasználását.

Az integritás megfelelő biztosításának feltétele, hogy az adatkezelési folyamatok egyértelműek legyenek. A folyamatok elemihez lehet meghatározni pontosan a kezelt adatokat, a kezelés módját, a kezelésre jogosultak körét és azokat a speciális adatvédelmi intézkedéseket, melyek betartása segíti az integritás megvalósulását. Az integritás szabályozás magába foglalja a szervezet munkatársaira vonatkozó magatartási szabályokat, ezek a munkaköri leírástól a belső szabályzatokig terjedően, átfogóan és összhangban kell megjelenniük. Ezen túl az adatvédelem fizikai eszközei is fontosak: az adathordozók védelme az intézmény helységeitől a számítógépes hozzáférésekig vagy a biztonsági mentések elvégzéséig többszintű rendszert alkot.

(2) Adatvédelmi incidens: Az integritással kapcsolatban fontos fogalom az adatvédelmi incidens. Az adatvédelmi incidens az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi. Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyeknek, többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérelmét, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve a szóban forgó természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt.

Az adatkezelő a kezelésében lévő személyes adatokkal kapcsolatos adatkezeléseiről, az adatvédelmi incidensekről és az érintett hozzáférési jogával kapcsolatos intézkedésekről köteles nyilvántartást vezetni (adatkezelői nyilvántartás). Az adatkezelői nyilvántartásban az adatkezelő rögzíti az általa kezelt adatokkal összefüggésben felmerült adatvédelmi incidensek bekövetkezésének körülményeit, azok hatásait és a kezelésükre tett intézkedéseket.

Az adatkezelő az adatvédelmi incidenst köteles haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő 72 órán belül bejelenteni a Hatóságnak (NAIH). Az adatvédelmi incidenst nem kell bejelenteni, ha valószínűsíthető, hogy az nem jár kockázattal az érintettek jogainak érvényesülésére, de az adatkezelői nyilvántartásban ettől függetlenül rögzíteni szükséges). Ha az adatkezelő a bejelentési kötelezettséget akadályoztatása miatt határidőben nem teljesíti, azt az akadály megszűnését követően haladéktalanul teljesíti, és a bejelentéshez mellékeli a késedelem okait feltáró nyilatkozatát is.

A bejelentési kötelezettség keretei között az adatkezelő:
– ismerteti az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek körét és hozzávetőleges számát, valamint az incidenssel érintett adatok körét és hozzávetőleges mennyiségét,
– tájékoztatást nyújt az adatvédelmi tisztviselő vagy a további tájékoztatás nyújtására kijelölt más kapcsolattartó nevéről és elérhetőségi adatairól,
– ismerteti az adatvédelmi incidensből eredő, valószínűsíthető következményeket, és
– ismerteti az adatkezelő által az adatvédelmi incidens kezelésére tett vagy tervezett – az adatvédelmi incidensből eredő esetleges hátrányos következmények mérséklését célzó és egyéb – intézkedéseket.

Ha a valamely információ a bejelentés időpontjában nem áll az adatkezelő rendelkezésére, azzal utólag – az információ rendelkezésre állásáról való tudomásszerzését követően haladéktalanul kiegészítheti a bejelentést.

A bejelentési kötelezettséget az adatkezelő – a minősített adatot tartalmazó bejelentés kivételével – a Hatóság által e célra biztosított elektronikus felületen teljesíti.

Ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (magas kockázatú adatvédelmi incidens), az adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja.

 

2.8. Elszámoltathatóság elve:

(1) A GDPR az elszámoltathatóságot a korábbi szabályozásokkal szemben alapelvi szintre emelte és központi szerepbe helyezte. Az alapelv röviden megfogalmazva annyi jelent, hogy az adatkezelő alakítsa ki azokat a belső szabályokat, folyamatokat, mechanizmusokat, amelyek a rendeletből fakadó kötelezettségek teljesítéséhez szükségesek, másrészt képes legyen a megfelelés bemutatására.

(2) Szervezeten belüli feladatok: Ez a rövid rendelkezés azonban jelentős adminisztrációs terhet jelent az adott szervezet részére, ugyanis magába foglalja:
– a kezelt személyes adatok, az adatkezelési feladatok tételes és folyamatszerű felmérését, a hat alapelvnek való megfelelőség igazolását és ennek dokumentációját,
– az adatkezeléssel kapcsolatos tájékoztatások, hozzájárulások dokumentálását,
– az adatkezelés folyamatainak kockázati elemzését,
– a kockázatok elhárítására tett intézkedések rögzítését, ami első sorban az adatkezeléssel kapcsolatban álló szervezeti szabályzók módosítását jelenti,
– adatkezelők kijelölését, adatkezelésre jogosultak nyilvántartását az adatkezelési jogkörök pontos rögzítését,
– az adatkezeléssel kapcsolatos panaszok, adatvédelmi incidensek kapcsán tett intézkedések naplózását,
– a rendszer működésének folyamatos nyomon követését, felülvizsgálatát.

(3) Az adatvédelmi szabályozás szerint minden adat, adatkezelés esetén folyamatosan kell megfelelni az adatkezelési elveknek, az azokból fakadó jogi és szakmai követelményeknek. Az elszámoltathatóság elve lényegében a fordított bizonyítási terhet jelent, vagyis a szervezetnek kell igazolnia, hogy az adatkezelése megfelel a szabályoknak.

(4) Adatkezelői nyilvántartás: Az elszámoltathatóság elvének egyik legfontosabb megjelenése a szabályozásban az adatkezelői és az adatfeldolgozói nyilvántartás és az elektronikus napló. Az adatkezelő a kezelésében lévő személyes adatokkal kapcsolatos adatkezeléseiről, az adatvédelmi incidensekről és az érintett hozzáférési jogával kapcsolatos intézkedésekről nyilvántartást köteles vezetni (adatkezelői nyilvántartás). Az adatkezelői nyilvántartásban az adatkezelő rögzíti:
– az adatkezelő, ideértve minden egyes közös adatkezelőt is, valamint az adatvédelmi tisztviselő nevét és elérhetőségeit,
– az adatkezelés(ek) célját vagy céljait,
– személyes adatok továbbítása vagy tervezett továbbítása esetén az adattovábbítás címzettjeinek körét,
– az érintettek, valamint a kezelt adatok körét,
– profilalkotás alkalmazása esetén annak tényét,
– nemzetközi adattovábbítás esetén a továbbított adatok körét,
– az adatkezelési műveletek – ideértve az adattovábbítást is – jogalapjait,
– ha az ismert, a kezelt személyes adatok törlésének időpontját,
– az e törvény szerint végrehajtott műszaki és szervezési biztonsági intézkedések általános leírását,
– a kezelt adatokkal összefüggésben felmerült adatvédelmi incidensek bekövetkezésének körülményeit, azok hatásait és a kezelésükre tett intézkedéseket,
– az érintett hozzáférési jogának érvényesítését e törvény szerint korlátozó vagy megtagadó intézkedésének jogi és ténybeli indokait.

(5) Felelősségi kérdések: A feladatok végrehajtásában jelentős szerepe van az adatvédelmi tisztviselőnek, de a szervezet minden, adatkezelésben érintett személyétől odafigyelést, felelősségteljes magatartást és aktív közreműködést igényel.

III. Az adatvédelem alapfogalmai

3.1. Érintett:

(1) Bármely meghatározott, személyes adat alapján azonosított vagy – közvetlenül vagy közvetve – azonosítható természetes személy. Az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, azonosító szám, helymeghatározó adat, online azonosító vagy a természetes személy fizikai, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható.

3.2. Személyes adat:

(1) Az Érintettel kapcsolatba hozható adat – különösen az érintett neve, azonosító jele, valamint egy vagy több fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző ismeret -, valamint az adatból levonható, az érintettre vonatkozó következtetés. Az érintett egyediesítésére természetes, vagy mesterséges azonosító adatok szolgálnak:

a) Természetes azonosító adat különösen:
• az érintett neve,
• anyja neve,
• születési helye és ideje,
• lakóhelyének illetve tartózkodási helyének címe.

b) Mesterséges azonosító adatok a matematikai, vagy más algoritmus szerint generált adatok, így különösen:
• a személyi azonosító kód,
• a társadalombiztosítási azonosító jel, azaz TAJ szám,
• az adóazonosító jel,
• a személyi igazolvány száma,
• az útlevél száma.

3.3. Különleges adat:

(1) A faji eredetre, a nemzetiséghez tartozásra, a vallásos vagy más világnézeti meggyőződésre vonatkozó személyes adat.

(2) az egészségi állapotra, a kóros szenvedélyre vonatkozó személyes adat, valamint a bűnügyi személyes adat.

3.4. Közérdekű adat:

(1) A Magyar Vöröskereszt közfeladatának ellátásával összefüggésben keletkezett, a személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített információ vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes jellegétől, így különösen a hatáskörre, illetékességre, szervezeti felépítésre, szakmai tevékenységre, annak eredményességére is kiterjedő értékelésére, a birtokolt adatfajtákra és a működést szabályozó jogszabályokra, valamint a gazdálkodásra, a megkötött szerződésekre vonatkozó adat.

(2) Az államtól vagy helyi önkormányzattól átvállalt feladatot, valamint jogszabályban meghatározott egyéb közfeladatot ellátó szervezeteknek – így a Magyar Vöröskeresztnek – lehetővé kell tennie, hogy a kezelésében lévő közérdekű adatot és közérdekből nyilvános adatot – az Adatvédelmi törvényben meghatározott kivételekkel – erre irányuló igény alapján bárki megismerhesse.

3.5. Közérdekből nyilvános adat:

(1) Ha törvény másként nem rendelkezik, közérdekből nyilvános adat a jogszabály vagy állami, illetőleg helyi önkormányzati szervvel kötött szerződés alapján kötelezően igénybe veendő vagy más módon ki nem elégíthető szolgáltatást nyújtó szervek vagy személyek kezelésében lévő, e tevékenységükre vonatkozó, személyes adatnak nem minősülő adat.

3.6. Hozzájárulás:

(1) Az érintett akaratának önkéntes, határozott és megfelelő tájékoztatáson alapuló egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy az akaratát félreérthetetlenül kifejező más magatartás útján jelzi, hogy beleegyezését adja a rá vonatkozó személyes adatok kezeléséhez.

3.7. Adatkezelő:

(1) Az Adatvédelmi törvény alapján adatkezelő az a természetes vagy jogi személy, illetve jogi személyiséggel nem rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat kezelésének célját meghatározza, az adatkezelésre (beleértve a felhasznált eszközt) vonatkozó döntéseket meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja.

(2) A Magyar Vöröskereszt, illetve annak jogi személyiséggel rendelkező szervezeti egységei.

(3) A Magyar Vöröskereszt képviselője a főigazgató, valamint a jogi személyiséggel rendelkező szervezeti egységek képviselői, az SZMSZ alapján felhatalmazott vezetők.

3.8. Adatkezelés:

(1) Az alkalmazott eljárástól függetlenül az adatokon végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adatok további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők rögzítése.

(2) Az adatkezelés során arra alkalmas műszaki vagy szervezési – így különösen az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisülésével vagy károsodásával szembeni védelmet kialakító – intézkedések alkalmazásával biztosítani kell a személyes adatok megfelelő biztonságát.

3.9. Adatvédelmi tisztviselő:

(1) A Magyar Vöröskereszt főigazgatója a személyes adatok kezelésére vonatkozó jogi előírások teljesítésének és az érintettek jogai érvényesülésének elősegítése érdekében adatvédelmi tisztviselőt alkalmaz.

(2) Adatvédelmi tisztviselőnek az jelölhető ki, aki a személyes adatok védelmére vonatkozó jogi előírások és jogalkalmazási gyakorlat megfelelő szintű ismeretével rendelkezik és alkalmas az Adatvédelmi törvényben meghatározott feladatok ellátására.

(3) Az adatvédelmi tisztviselő egyidejűleg több adatkezelő, illetve adatfeldolgozó tekintetében is elláthatja a feladatokat, ha az feladatainak szakszerű és hatékony ellátását nem veszélyezteti. Az adatvédelmi tisztviselő tájékoztatja az adatkezelőt, illetve adatfeldolgozót arról, hogy mely más adatkezelőnél vagy adatfeldolgozónál lát el adatvédelmi tisztviselői feladatokat.

(4) A Magyar Vöröskereszt főigazgatója tájékoztatja a Nemzeti Adatvédelmi és Információszabadság Hatóságot (továbbiakban Hatóság) az adatvédelmi tisztviselő nevéről, postai és elektronikus levélcíméről, ezen adatok változásáról, valamint ezen adatokat nyilvánosságra hozza.

(5) A 2.7. pontban meghatározott adatkezelő és az adatfeldolgozó kellő időben bevonja az adatvédelmi tisztviselőt valamennyi, a személyes adatok védelmét érintő döntés előkészítésébe, továbbá biztosítja az adatvédelmi tisztviselő számára mindazon feltételeket, jogosultságokat és erőforrásokat, továbbá hozzáférést biztosít mindazon adatokhoz és információkhoz, amelyek az adatvédelmi tisztviselő által ellátandó feladatok végrehajtásához, valamint az adatvédelmi tisztviselő szakmai ismereteinek naprakészen tartásához szükségesek.

(6) Az adatvédelmi tisztviselő elősegíti a 3.7. pontban meghatározott adatkezelő, illetve az adatfeldolgozó – a személyes adatok kezelésére vonatkozó jogi előírásokban meghatározott – kötelezettségeinek teljesítését, így különösen:
a) a személyes adatok kezelésére vonatkozó jogi előírásokról naprakész tájékoztatást nyújt és azok érvényesítésének módjaival kapcsolatban tanácsot ad az adatkezelő, az adatfeldolgozó és az azok által foglalkoztatott, az adatkezelési műveleteket végző személyek részére;
b) folyamatosan figyelemmel kíséri és ellenőrzi a személyes adatok kezelésére vonatkozó jogi előírások, így különösen a jogszabályok és belső adatvédelmi és adatbiztonsági szabályzatok érvényesülését, ennek keretei között az egyes adatkezelési műveletekhez kapcsolódó egyértelmű feladatmeghatározás, az adatkezelési műveletekben közreműködő foglalkoztatottak adatvédelmi ismereteinek bővítése és tudatosságnövelése, valamint a rendszeres időközönként lefolytatandó vizsgálatok megvalósulását;
c) elősegíti az érintettet megillető jogok gyakorlását, így különösen kivizsgálja az érintettek panaszait és kezdeményezi az adatkezelőnél, illetve az adatfeldolgozónál a panasz orvoslásához szükséges intézkedések megtételét,
d) szakmai tanácsadással elősegíti és figyelemmel kíséri az adatvédelmi hatásvizsgálat lefolytatását,
e) együttműködik az adatkezelés jogszerűségével kapcsolatos eljárások lefolytatására jogosult szervekkel és személyekkel, így különösen kapcsolatot tart a Hatósággal az előzetes konzultáció és a Hatóság által lefolytatott eljárások elősegítése érdekében,
f) közreműködik a belső adatvédelmi és adatbiztonsági szabályzat megalkotásában.

(7) Az adatvédelmi tisztviselő jogviszonyának fennállása alatt és annak megszűnését követően is titokként megőrzi a tevékenységével, annak ellátásával kapcsolatban tudomására jutott személyes adatot, minősített adatot, illetve törvény által védett titoknak és hivatás gyakorlásához kötött titoknak minősülő adatot, valamint minden olyan adatot, tényt vagy körülményt, amelyet az őt alkalmazó adatkezelő vagy adatfeldolgozó nem köteles törvény előírásai szerint a nyilvánosság számára hozzáférhetővé tenni.

(8) Az adatvédelmi tisztviselő a Magyar Vöröskereszt valamennyi szervezeti egységénél jogosult betekinteni az adatkezelésbe, valamint a hozzájuk kapcsolódó jegyzőkönyvekbe, azzal a korlátozással, hogy Keresőszolgálat által kezelt adatok tekintetében korlátozott betekintéssel rendelkezik: ellenőrizheti az adatkezelés módját, azonban az egyéni adatokba nem tekinthet be. A szervezeti egység vezetőitől vagy munkatársaitól szóban vagy írásban is felvilágosítást kérhet. A vizsgálat során megismert személyes adatokkal kapcsolatban titoktartási kötelezettség terheli.

(9) Az adatvédelmi tisztviselő a főigazgató részére köteles – a főigazgató utasítása szerint, de legalább évente – jelentést tenni, amelyet a főigazgató-helyettesnek is megküld.

(10) A Magyar Vöröskereszt megyei/fővárosi szervezetei az adatkezelés és adatvédelem szabályok betartása és betartatása érdekében minden megyei/fővárosi igazgatóságon adatvédelmi kapcsolattartót alkalmaz, akik munkájukról kötelesek beszámolni a Magyar Vöröskereszt adatvédelmi tisztviselőjének, aki segíti munkájukat és évente legalább egyszer felkészítést és értekezletet tart.

(11) Az adatvédelmi tisztviselő köteles az Ellenőrzési Szabályzat (MVK-SZ-035) 2.2 pontjában meghatározott ellenőrzést végző szervekkel együttműködni és tevékenységéről beszámolni.

3.10. Adatvédelmi kapcsolattartó:

(1) A Magyar Vöröskereszt az adatkezelési és adatvédelmi szabályok betartása és betartatása érdekében adatvédelmi kapcsolattartókat nevez ki megyei/fővárosi igazgatóságok szintjén, aki közvetlenül a megyei/fővárosi igazgatók részére és a Magyar Vöröskereszt adatvédelmi tisztviselője számára köteles jelentést tenni évente legalább egyszer.

(2) Az adatvédelmi kapcsolattartó megyei/fővárosi szinten:
a) közreműködik, illetőleg segítséget nyújt az adatkezeléssel összefüggő döntések meghozatalában, valamint az érintettek jogainak biztosításában;
b) ellenőrzi e törvény és az adatkezelésre vonatkozó más jogszabályok, valamint a belső adatvédelmi és adatbiztonsági szabályzat rendelkezéseinek és az adatbiztonsági követelményeknek a megtartását;
c) kivizsgálja a hozzá érkezett bejelentéseket, és jogosulatlan adatkezelés észlelése esetén annak megszüntetésére hívja fel az adatkezelőt és az adatfeldolgozót;
d) vezeti a belső adatvédelmi nyilvántartást;
e) gondoskodik az adatvédelmi ismeretek oktatásáról;
f) munkájáról tájékoztatást nyújt a Magyar Vöröskereszt adatvédelmi tisztviselő részére.

3.11. Adattovábbítás:

(1) Az adat meghatározott harmadik személy számára történő hozzáférhetővé tétele.

(2) Az adattovábbítást megelőzően az adatkezelő, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó megvizsgálja a továbbítandó személyes adatok pontosságát, teljességét és naprakészségét.

(3) Személyes adatot az adatkezelő vagy adatfeldolgozó harmadik országban, továbbá nemzetközi szervezet keretein belül adatkezelést folytató adatkezelő vagy adatfeldolgozó részére – a közvetett adattovábbítást is ideértve – akkor továbbíthat (a továbbiakban együtt: nemzetközi adattovábbítás), ha:
a) a nemzetközi adattovábbításhoz az érintett kifejezetten hozzájárult, vagy
b) a nemzetközi adattovábbítás az adatkezelés céljának eléréséhez szükséges, valamint annak során az adatkezelésnek az Adatvédelmi törvény 5. §-ban előírt feltételei teljesülnek, és a harmadik országban, illetve a nemzetközi szervezet keretein belül adatkezelést folytató adatkezelő vagy adatfeldolgozó tekintetében a továbbított személyes adatok megfelelő szintű védelme biztosított, vagy
c) a nemzetközi adattovábbítás az Adatvédelmi törvény 11. §-ban meghatározott kivételes esetekben szükséges.

3.12. Nyilvánosságra hozatal:

(1) Az adat bárki számára történő hozzáférhetővé tétele.

3.13. Adattörlés:

(1) Az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk többé nem lehetséges.
3.14. Adatmegjelölés:

(1) Az adat azonosító jelzéssel ellátása annak megkülönböztetése céljából.

3.15. Adatmegsemmisítés:

(1) Az adatokat tartalmazó adathordozó teljes fizikai megsemmisítése.

3.16. Adatfeldolgozás:

(1) Az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől, feltéve hogy a technikai feladatot az adatokon végzik.

3.17. Adatfeldolgozó:

(1) A Magyar Vöröskereszt adatfeldolgozással megbízott munkatársa. Amennyiben a szervezet vagy annak valamelyik jogi személyiséggel rendelkező szervezeti egysége nem tudja az adatfeldolgozást saját munkatársaival megoldani hatékonyan, úgy szerződés alapján külső szereplő bevonásával is megvalósíthatja azt.

3.18. Adatállomány:

(1) A nyilvántartásban kezelt adatok összessége.

3.19. Az érintettet megillető jogosultságok:

(1) Az érintett jogosult arra, hogy az adatkezelő és az annak megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt személyes adatai vonatkozásában:
a) az adatkezeléssel összefüggő tényekről az adatkezelés megkezdését megelőzően tájékoztatást kapjon (a továbbiakban: előzetes tájékozódáshoz való jog),
b) kérelmére személyes adatait és az azok kezelésével összefüggő információkat az adatkezelő a rendelkezésére bocsássa (a továbbiakban: hozzáféréshez való jog),
c) kérelmére, valamint az e fejezetben meghatározott további esetekben személyes adatait az adatkezelő helyesbítse, illetve kiegészítse (a továbbiakban: helyesbítéshez való jog),
d) kérelmére, valamint az e fejezetben meghatározott további esetekben személyes adatai kezelését az adatkezelő korlátozza (a továbbiakban: az adatkezelés korlátozásához való jog),
e) kérelmére, valamint az e fejezetben meghatározott további esetekben személyes adatait az adatkezelő törölje (a továbbiakban: törléshez való jog).

IV. Adatkezelések eljárási szabályai

4.1. Az adatkezelő általános feladatai:

(1) Az adatkezelő az adatkezelés jogszerűségének biztosítása érdekében az adatkezelés összes körülményéhez, így különösen céljához, valamint az érintettek alapvető jogainak érvényesülését az adatkezelés által fenyegető kockázatokhoz igazodó műszaki és szervezési intézkedéseket tesz, ideértve indokolt esetben az álnevesítés alkalmazását. Ezeket az intézkedéseket az adatkezelő rendszeresen felülvizsgálja és szükség esetén megfelelően módosítja.

(2) Az adatkezelő a kezelésében lévő személyes adatokkal kapcsolatos adatkezeléseiről, az adatvédelmi incidensekről és az érintett hozzáférési jogával kapcsolatos intézkedésekről nyilvántartást vezet (a továbbiakban együtt: adatkezelői nyilvántartás).

 

4.2. Személyes és különleges személyes adat kezelése:

(1) Személyes/különleges személyes adat a Magyar Vöröskereszt által kizárólag akkor kezelhető, ha ahhoz az adatalany írásban hozzájárul, vagy azt törvény rendeli el.

(1) A személyes adatot – akár az adatalany hozzájárulásával, akár jogszabály alapján – különösen akkor lehet kezelni, ha ez:
a) közérdekű feladat vagy az
b) adatkezelő törvényi kötelezettségének teljesítéséhez, az adatkezelő vagy az adatátvevő harmadik személy hivatalos feladatának gyakorlásához,
c) az adatalany létfontosságú érdekeinek védelméhez,
d) az adatalany és az adatkezelő között létrejött szerződés teljesítéséhez,
e) az adatkezelő vagy harmadik személy jogos érdekének érvényesítéséhez,
f) a Magyar Vöröskereszt jogszerű működéséhez szükséges.

(2) Az adatalannyal az adat felvétele előtt közölni kell az adatkezelés célját, valamint azt, hogy az adatszolgáltatás önkéntes vagy kötelező. Kötelező adatszolgáltatás esetén meg kell jelölni az adatkezelést elrendelő jogszabályt.

(3) Az érintettet egyértelműen tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az adatalany adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is.

 

4.3. Titoktartás:

(1) A Magyar Vöröskereszt, illetve annak szervezeti egységeinél az adatkezelést végző munkatársak kötelesek az általuk megismert személyes adatokat személyes, üzleti, illetve államtitkokként megőrizni. Ilyen munkakörben csak az foglalkoztatható, aki titoktartási nyilatkozatot tett.

4.4. Adatminőséggel kapcsolatos követelmények:

(1) A kezelt személyes adatoknak meg kell felelniük az alábbi követelményeknek:
a) felvételük és kezelésük tisztességes és törvényes;
b) pontosak, teljesek, és ha szükséges, időszerűek;
c) tárolásuk módja alkalmas arra, hogy az adatalanyt csak a tárolás céljához szükséges ideig lehessen azonosítani.

(2) Amennyiben a személyes/különleges adat egyidejűleg más jogszabályok (Ptk., stb.) hatálya alá is tartozik (pl. gazdasági titok is egyben) abban az esetben az adatkezelésnek valamennyi vonatkozó jogszabályi rendelkezésnek meg kell felelnie.

 

4.5. Célhoz kötöttség megszűnése:

(1) Ha a célhoz kötöttség megszűnik, és annak további tárolását a vonatkozó hatályos törvények nem írják elő, az adatalany adatait törölni kell.

(2) A törlésről jegyzőkönyvet kell készíteni. A jegyzőkönyv elkészítése az Országos Igazgatóságon az adatvédelmi tisztviselő, megyei/fővárosi szinten az adatvédelmi kapcsolattartó felelőssége. A jegyzőkönyv sorszámát a belső adatvédelmi tisztviselő határozza meg.

(3) A jegyzőkönyv egy példányát a belső adatvédelmi tisztviselőnek kell továbbítani, a másik példányt helyben őrizni.

 

4.6. Adattovábbítás, összekapcsolás:

(1) Személyes adatok csak akkor továbbíthatók, valamint a különböző adatkezelések akkor kapcsolhatók össze, ha az érintett ahhoz írásban hozzájárult, vagy törvény azt megengedi, és ha az adatkezelés feltételei minden egyes személyes adatra nézve teljesülnek.

(2) Minden olyan adatkezelésben érintett szakterületnek, amely személyes adatok továbbítását végzi, adattovábbítási nyilvántartást kell vezetnie. A nyilvántartás – és ennek alapján a tájékoztatási kötelezettség – időtartamát az adatkezelést szabályozó jogszabály korlátozhatja. A korlátozás időtartama személyes adatok esetében öt évnél, különleges adatok esetében húsz évnél rövidebb nem lehet.

(3) A törvényes működéshez figyelembe kell venni az adattovábbítás/összekapcsolás célját, időtartamát (lejárati határidejét) egyaránt.

 

4.7. Adattovábbítás külső megkeresés alapján:

(1) A Magyar Vöröskereszten kívüli szervtől vagy magánszemélytől érkező, adatközlésre irányuló megkeresés csak akkor teljesíthető, ha az adatalany erre írásban felhatalmazza a Magyar Vöröskeresztet. Az adatalany előzetesen is adhat ilyen tartalmú felhatalmazást, amely szólhat valamely időtartamra és a megkereséssel élő szervek meghatározott körére. Az adattovábbítás tényét írásban kell rögzíteni, és az adattovábbítás tényéről a belső adatvédelmi tisztviselőt tájékoztatni kell.

(2) Az adatalany nyilatkozattételétől függetlenül, a vonatkozó jogszabályban megállapított esetekben teljesíteni kell az illetékes hatóságoktól, állami szervektől – rendőrség, bíróság, ügyészség, adóhivatal, vámhivatal, társadalombiztosítás valamint a nemzetbiztonsági szolgálatoktól, hagyatéki eljárásban közjegyzőtől – érkező esetleges megkereséseket. E szervek megkereséseiről az illetékes szakterület – szakmai vezetője útján – köteles tájékoztatni az adatvédelmi tisztviselőt, aki szükség esetén értesíti a főigazgatót.

(3) A megkeresésekkel kapcsolatos adattovábbítás során alkalmazni kell a személyes adatra vonatkozó más jogszabályok (Ptk, továbbá az állam és szolgálati titok védelméről szóló törvény) rendelkezéseit is.

 

4.8. Személyes adatok nyilvánosságra hozatala:

(1) A Magyar Vöröskeresztnél kezelt személyes adatok nyilvánosságra hozatala tilos, kivéve, ha törvény rendeli el, vagy az adatalany ahhoz írásban hozzájárult.

 

4.9. Automatizált egyedi döntés:

(1) Automatizált adatfeldolgozás esetén az adatalanyt – kérelmére – tájékoztatni kell az alkalmazott matematikai módszerről és annak lényegéről.

 

V. Egyes adatkezelések szabályai

5.1. Tagnyilvántartás:

(1) A Tagnyilvántartás adatai a tagsági jogviszonyával kapcsolatos adatok rögzítésére, igazolására, a tagsággal való kapcsolattartásra valamint statisztikai adatszolgáltatásra használhatók fel.

(2) A Tagnyilvántartás a Magyar Vöröskereszttel tagsági jogviszonyban lévő személyek adatait tartalmazza.

(3) A Tagnyilvántartásba felvehető adatok köre:
a) név;
b) anyja neve;
c) születési idő;
d) születési hely;
e) lakcím;
f) telefonszám;
g) e-mail cím;
h) alapszervezet neve;
i) területi szervezet neve;
j) megyei/fővárosi szervezet neve;
k) tagság típusa;
l) belépés időpontja;
m) tagdíjfizetés igazolása;
n) vöröskeresztes megbízatás neve, időtartama;
o) kitüntetés megnevezése, odaítélésének éve;
p) véradó-e?;
q) önkéntes-e?;
r) kijelentkezés helye;
s) bejelentkezés helye.
t) nyilvántartási szám.

(4) A Tagnyilvántartás adatait az érintett szolgáltatja. A jogviszony keletkezésekor történik meg az elsődleges adatfelvétel.

(5) A Tagnyilvántartás kezelője az Országos Igazgatóság és illetékesség szerint a megyei/fővárosi igazgatóságok.

(6) A Tagnyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül a Tagnyilvántartásból csak a főigazgató, főigazgató-helyettes, az Országos Igazgatóság informatikai és mozgalmi területért felelős munkatársa, valamint a jogi személyiséggel rendelkező szervezeti egységek vezetői részére teljesíthető adatszolgáltatás.

(8) A Magyar Vöröskereszt mint egyesület jogszabályban (A Polgári Törvénykönyvről szóló 2013. évi V. törvény, valamint az egyesülési jogról, a közhasznú jogállásról, valaminta civil szervezetek működéséről és támogatásáról szóló 2011. évi CLXXV. törvény) meghatározott működtetése szempontjából szükséges tisztségviselők megválasztása érdekében az Országos Választási Bizottság a Választási Szabályzat (MVK-SZ-33) alapján az elektronikus tagnyilvántartás adataiból képzi a választási névjegyzéket, mely tartalmazza az adott tag nyilvántartási számát, nevét, lakcímét és a szervezeti egységekre (megyei/fővárosi szervezet; területi szervezet és alapszervezet) vonatkozó adatokat.

 

5.2. Önkéntesek nyilvántartása:

(1) Az Önkéntes nyilvántartás adatai az önkéntes jogviszonyával kapcsolatos adatok igazolására, rögzítésére, az önkéntessel való kapcsolattartásra valamint statisztikai adatszolgáltatásra használhatók fel.

(2) Az Önkéntes nyilvántartás a Magyar Vöröskeresztnél önkéntesként dolgozó személyek adatait tartalmazza.

(3) A nyilvántartásba felvehető adatok köre:
a) név;
b) anyja neve;
c) születési idő;
d) születési hely;
e) lakcím;
f) adóazonosító jel;
g) TAJ szám;
h) telefonszám;
i) e-mail cím;
j) önkéntesség típusa;
k) önkéntes munkavégzés helye;
l) végzett önkéntes munka köre;
m) önkéntes szerződés száma;
n) szerződés kelte;
o) szerződés hatálya;
p) önkéntes munkavégzés gyakorisága;
q) önkéntes kitüntetések megnevezése;
r) juttatások megnevezése;
s) véradó-e?;
u) tag-e?;

(4) Az Önkéntes nyilvántartás adatait az érintett szolgáltatja. A jogviszony keletkezésekor történik meg az elsődleges adatfelvétel.

(5) Az Önkéntes nyilvántartás kezelője illetékesség szerint az Országos Igazgatóság és a megyei/fővárosi igazgatóságok.

(6) A nyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül az Önkéntes nyilvántartásból csak a főigazgató, főigazgató-helyettes, az Országos Igazgatóság mozgalmi területért felelős munkatársa, valamint a jogi személyiséggel rendelkező szervezeti egységek vezetői részére teljesíthető adatszolgáltatás.

 

5.3. Felnőttképzési nyilvántartás:

(1) A Felnőttképzési nyilvántartás adatai az felnőttképzési jogviszonnyal kapcsolatos adatok rögzítésére, igazolására, a felnőttképzési szerződéssel rendelkező személyekkel való kapcsolattartásra valamint statisztikai adatszolgáltatásra használhatók fel.

(2) A Felnőttképzési nyilvántartás a Magyar Vöröskereszttel vagy annak felnőttképzési nyilvántartásba vett jogi személyiséggel rendelkező szervezeti egységeivel felnőttképzési jogviszonyban álló személyek és az általuk igénybevett felnőttképzési tevékenység adatait tartalmazza.

(3) A nyilvántartásba felvehető adatok köre:
a) név;
b) születési név;
c) anyja neve;
d) születési idő;
e) születési hely;
f) neme;
g) állampolgársága;
h) TAJ szám;
i) állandó lakcím;
j) tartózkodási lakcím;
k) telefonszám;
l) e-mail cím;
m) a tankötelezettsége teljesítése mellett felnőttképzésben is részt vevő személy szülőjének/törvényes képviselőjének nevét, lakcímét, tartózkodási helyét, telefonszámát;
n) nem magyar állampolgár Magyarországon való tartózkodásának jogcímét és a tartózkodásra jogosító okirat, okmány megnevezését és számát
o) bemeneti végzettséget igazoló bizonyítvány adatai;
p) kimeneti végzettséget igazoló bizonyítvány/igazolás adatai, vizsgaadatok, értékelések;
q) képzés helyszíne;
r) befizetési azonosító szám;
s) képzés időtartama;
t) képzés időpontja;
u) képzés moduljai;
v) képzés helyszíne;
w) megszerzett kompetenciák;
x) képzés alatt felmerülő adatok: hiányzás, értékelés.

(4) A Felnőttképzési nyilvántartás adatait elsősorban az érintett szolgáltatja. A jogviszony keletkezésekor történik meg az elsődleges adatfelvétel.

(5) A Felnőttképzési nyilvántartás kezelője illetékesség szerint az Országos Igazgatóság és a megyei/fővárosi igazgatóságok.

(6) A nyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül a Felnőttképzési nyilvántartásból csak a főigazgató, főigazgató-helyettes, az Országos Igazgatóság felnőttképzési területért felelős munkatársa, valamint azon szervezeti egységek vezetői, illetve felnőttképzési kérdésekben illetékes ügyintézői részére teljesíthető adatszolgáltatás, amelyeknél a felnőttképzési tevékenység megvalósult.

 

5.4. Közúti elsősegélynyújtó vizsgázók nyilvántartása:

(1) A Közúti elsősegélynyújtó vizsgázók nyilvántartásának adatai a közúti járművezető jelöltek elsősegélynyújtási vizsgájára jelentkezőkkel kapcsolatos adatok rögzítésére, igazolására, valamint statisztikai adatszolgáltatásra használhatók fel.

(2) A Közúti elsősegélynyújtó vizsgázók nyilvántartása a Magyar Vöröskereszthez jelentkező közúti járművezető jelölt személyek és a vizsga adatait tartalmazza.
(3) A nyilvántartásba felvehető adatok köre:
a) név;
b) születéskori név;
c) anyja neve;
d) születési idő;
e) születési hely;
f) postacím;
g) telefonszám;
h) e-mail cím;
i) vizsga időpontja;
j) vizsga helyszíne;
k) befizetés azonosító szám;
l) jelentkezéskor kapott nyilvántartási szám;
m) kötelező feladatok értékelése;
n) vizsgaeredmény;
o) tételek;
p) vizsgaelnök és vizsgaadminisztrátor neve;
q) kiadott igazolás sorszáma.

(4) A Közúti elsősegélynyújtó vizsgázók nyilvántartásának adatait elsősorban az érintett szolgáltatja. A vizsgára történő jelentkezéskor történik meg az elsődleges adatfelvétel.

(5) A Közúti elsősegélynyújtó vizsgázók nyilvántartásának kezelője az Országos Igazgatóság és illetékesség szerint a megyei/fővárosi igazgatóságok.

(6) A nyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül a Közúti elsősegélynyújtó vizsgázók nyilvántartásából csak a főigazgató, főigazgató-helyettes, az Országos Igazgatóság elsősegélynyújtás területért felelős munkatársa, valamint azon szervezeti egységek vezetői, illetve közúti elsősegélynyújtás vizsgáztatási kérdésekben illetékes ügyintézői részére teljesíthető adatszolgáltatás, amelyeknél a vizsgázás megvalósult.

 

5.5. Véradók és véradásszervezők nyilvántartása:

(1) A Véradók és véradásszervezők nyilvántartásának adatai a véradókkal, véradásokkal és véradásszervezőkkel kapcsolatos adatok rögzítésére, igazolására, a véradókkal és véradásszervezőkkel való kapcsolattartásra valamint statisztikai adatszolgáltatásra használhatók fel.

(2) A Véradók és véradásszervezők nyilvántartása a Magyar Vöröskereszt szervezésében megvalósult véradásokon megjelenő véradók, valamint véradásszervező munkatársak és önkéntesek adatait tartalmazza.

(3) A Véradók és véradásszervezők nyilvántartásba felvehető adatok köre:
a) véradók adatai:
 név;
 anyja neve;
 születési idő;
 születési hely;
 lakcím;
 telefonszám;
 e-mail cím;
 tag-e?;
 önkéntes-e?;
 vércsoport;
 utolsó véradás ideje;
 igazolt véradásainak száma;
 véradásért kapott kitüntetések;
 nyilvántartási szám.
b) a véradásszervezők adati:
 név;
 anyja neve;
 születési idő;
 születési hely;
 lakcím;
 telefonszám;
 e-mail cím;
 tag-e?;
 önkéntes-e?;
 munkatárs-e?
 véradó-e?

(4) A véradók és véradásszervezők nyilvántartásának adatait elsősorban az érintett szolgáltatja. A véradók esetében az Országos Vérellátó Szolgálat által átadott személyes adatok átvételekor, illetve a véradások alkalmával, véradásszervezők esetén pedig a jogviszony (önkéntes jogviszony, munkajogviszony) keletkezésekor történik az elsődleges adatfelvétel.

(5) A Véradók és véradásszervezők nyilvántartásának kezelője az Országos Igazgatóság és illetékesség szerint a megyei/fővárosi igazgatóságok.

(6) A Véradók és véradásszervezők nyilvántartásának kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül a Véradók és véradásszervezők nyilvántartásából csak a főigazgató, főigazgató-helyettes, az Országos Igazgatóság véradásszervezés területért felelős munkatársa, valamint a jogi személyiséggel rendelkező szervezeti egységek vezetői illetve a véradásszervezési kérdésekben illetékes ügyintézői részére teljesíthető adatszolgáltatás, amelyeknél a véradó esemény megvalósult.

 

5.6. Adománykezeléshez kapcsolódó nyilvántartás:

(1) Az Adománykezeléshez kapcsolódó nyilvántartás adatai az adományozással, az adományozókkal és az adományozottakkal kapcsolatos adatok rögzítésére, igazolására, az adományozókkal való kapcsolattartásra, valamint statisztikai adatszolgáltatásra használhatók fel.

(2) Az Adománykezeléshez kapcsolódó nyilvántartás a Magyar Vöröskeresztnek jutatott adományok, adományozók és adományozottak adatait tartalmazza.

(3) Az Adománykezeléshez kapcsolódó nyilvántartás felvehető adatok köre:
a) adományozó magánszemélyek adatai:
 adományozó neve;
 adományozó címe;
 adományozó e-mail címe;
 adományozó telefonszáma;
b) adományozó jogi személy és jogi személyiséggel nem rendelkező szervezet adatai:
 adományozó neve;
 adományozó székhelye;
 adományozó kapcsolattartójának neve;
 adományozó elérhetőségei;
 adományozó adószáma;
 adományozó cégjegyzékszáma / nyilvántartási száma;
 adományozó bankszámlaszáma és számlavezető bankjának neve;
 adományozó képviselőjének neve, titulusa;
c) adományozás adatai:
 adományozás időpontja;
 adományozás helye;
 adományozás tárgya;
 adomány értéke;
 adományozás célja;
 adományozás célcsoportja.
d) adományozott adatai:
 adományozott neve
 adományozott lakcíme
 adomány tárgya

(4) Az Adománykezeléshez kapcsolódó nyilvántartás adatait elsősorban az adományozó szolgáltatja. Az adományozás időpontjában történik meg az elsődleges adatfelvétel.

(5) Az Adománykezeléshez kapcsolódó nyilvántartás kezelője illetékesség szerint az Országos Igazgatóság és a megyei/fővárosi igazgatóságok.

(6) Az Adománykezeléshez kapcsolódó nyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül az Adománykezeléshez kapcsolódó nyilvántartáshoz csak a főigazgató, főigazgató-helyettes, gazdasági főigazgató-helyettes, az Országos Igazgatóság adományozási területért felelős munkatársa, valamint a jogi személyiséggel rendelkező szervezeti egységek vezetői részére teljesíthető adatszolgáltatás.

 

5.7. Személyügyi nyilvántartás:

(1) A Személyügyi nyilvántartás adatai a munkatársak munka jogviszonyával kapcsolatos tények megállapítására, a besorolási követelmények igazolására, társadalombiztosítási és bérszámfejtési, valamint a munkavállaláshoz kötődő, egyéb jogszabály által előírt adatszolgáltatásra és statisztikai adatszolgáltatásra használhatók fel.

(2) A Személyügyi nyilvántartás a Magyar Vöröskereszt valamennyi fő- és további jogviszonyban foglalkoztatott munkatársának adatait tartalmazza.

(3) A Személyügyi nyilvántartásba felvehető adatok köre:
a) név;
b) születési név;
c) anyja neve;
d) születési hely;
e) születési idő;
f) állampolgárság;
g) állandó lakcím;
h) tartózkodási hely;
i) levelezési cím – ha eltér az előzőektől;
j) személyigazolvány száma;
k) lakcímkártya száma;
l) adóazonosító jel;
m) TAJ szám;
n) telefonszám;
o) e-mail cím;
p) családi állapot;
q) élettárs, házastárs, gyermekek adatai:
 név;
 születési név;
 születési hely;
 születési idő;
 állampolgárság;
 munkáltató neve, címe;
 eltartottak száma;
 TAJ szám;
 adóazonosító jel;
r) munkaviszonyra, egyéb munkavégzésre irányuló jogviszonyra vonatkozó adatok,
így különösen:
 erkölcsi bizonyítvány adati;
 orvosi alkalmasságot igazoló dokumentum;
 iskolai végzettség, szakképesítés, alkalmazási feltételek, képesítési, feltételek alóli mentesítés;
 továbbképzés, szakirányú továbbképzés, továbbképzésben szerzett szakképesítés;
 tudományos fokozatok, címek;
 idegen nyelv tudása;
 munkaszerződés, kinevezési okmány, munkakör, munkaköri leírás és mindezek módosításai;
 vezetői megbízások;
 fegyelmi eljárás, büntetés, felmentés;
 munkában töltött idő;
 besorolással kapcsolatos adatok;
 munkatárs által kapott kitüntetések, díjak és más elismerések, címek;
 munkakör, munkakörbe nem tartozó feladatra történő megbízás;
 munkavégzésre irányuló további jogviszony, fegyelmi büntetés;
 kártérítésre kötelezés;
 munkavégzés ideje, túlmunka ideje, alapilletmény, pótlékok (jogcím szerint), illetménykiegészítés, megbízási díj, továbbá az azokat terhelő tartozás és annak jogosultja;
 szabadság, kiadott szabadság;
 munkatárs részére történő kifizetések és azok jogcímei;
 a munkatárs részére adott juttatások és azok jogcímei;
 a munkatárs munkáltatóval szemben fennálló tartozásai, azok jogcímei;
 további adatok az érintett hozzájárulásával.

(4) A Személyügyi nyilvántartás adatait az érintett szolgáltatja. A jogviszony keletkezésekor történik meg az elsődleges adatfelvétel.

(5) A Személyügyi nyilvántartás kezelője illetékesség szerint az Országos Igazgatóság és a megyei/fővárosi igazgatóságok.

(6) A nyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül a Személyügyi nyilvántartásból csak a főigazgató, főigazgató-helyettes, az Országos Igazgatóság humánpolitikai területért felelős munkatársa, valamint azon szervezeti egységek vezetői, illetve személyzeti kérdésekben illetékes ügyintézői részére teljesíthető adatszolgáltatás, amelyeknél a munkavállaló tényleges tevékenységet végez.

 

5.8. Keresőszolgálat nyilvántartása:

(1) A Keresőszolgálat nyilvántartásának adatai a keresési kérelmekhez kapcsolódó keresett személyek, valamint az őket kereső hozzátartozók adatainak rögzítésére, illetve a keresési tevékenység végzésére és statisztikai adatszolgáltatásra használhatók fel.

(2) A Keresőszolgálat nyilvántartás a Magyar Vöröskereszthez beérkezett keresések, keresett személyek és azok hozzátartozóinak adatait tartalmazza.

(3) A Keresőszolgálat nyilvántartásába felvehető adatok köre:
a) név;
b) születési név;
c) születési hely;
d) születési idő;
e) anyja neve;
f) apja neve;
g) állampolgárság;
h) foglalkozás;
i) vallás;
j) családi állapot;
k) házastárs neve;
l) utolsó ismert lakcím;
m) telefonszám;
n) e-mail cím;
o) holokauszt tényével kapcsolatos ügyeknél faji eredetre utaló információk;
p) holokauszt tényével kapcsolatos ügyeknél a bántalmazás helye és ideje;
q) keresett személyek egészségügyi állapotára vonatkozó adatok;
r) kereső személy esetében: keresett személyhez fűződő rokonsági fok;
s) elhalálozás ténye, időpontja, helye;
t) gyermekek neve és egyéb adatai;
u) házasságkötés időpontja, helye;
v) katonai jellegű ügyeknél a besorozás helye, ideje, hadifogság ténye, ideje;
w) menekült kereséseknél törzsi vagy népcsoport neve;
x) kapcsolat megszakadásának körülményei és helye;
y) igazolás kiadásakor (ICRC) a fogva tartás ideje és helye;
z) a kereső személy által közölt minden egyéb adat és körülmény, amely a kutatást elősegíti.

(4) A Keresőszolgálat nyilvántartásának adatait a kereső személyek és más nemzeti társaságok szolgáltatatják elsősorban. A keresés megkezdésekor történik meg az elsődleges adatfelvétel.

(5) A Keresőszolgálat nyilvántartásának kezelője kizárólagosan a Magyar Vöröskereszt Keresőszolgálata.

(6) A nyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül a Keresőszolgálati nyilvántartásból csak a Keresőszolgálat munkatársai részére teljesíthető adatszolgáltatás, de a keresőszolgálati tevékenységről készített statisztikai jellegű összesítések és beszámolók nyilvánosak.

 

5.9.  Kitüntetésekkel kapcsolatos nyilvántartás:

(1) A Kitüntetésekkel kapcsolatos nyilvántartás adatai a Szervezet által adott kitüntetések visszakereshetőségére és felmenő rendszerű kitüntetések esetén az előzmény kitüntetések megállapítására használhatók fel.

(2) A Kitüntetésekkel kapcsolatos nyilvántartás a Magyar Vöröskereszt Országos Vezetősége által adományozott kitüntetések adatait tartalmazza.

(3) A Kitüntetésekkel kapcsolatos nyilvántartásba felvehető adatok köre:
a) a kitüntetés elnevezése;
b) a kitüntetés sorszáma;
c) a kitüntetett személy, közösség neve;
d) az adományozás időpontja (év);
e) a kitüntetett személy születési dátuma, helye, anyja neve;
f) amennyiben releváns: korábbi vöröskeresztes tisztség, pozíció megjelölése.

(4) A Kitüntetésekkel kapcsolatos nyilvántartás adatait az érintett szolgáltatja. A kitüntetések átadásakor történik meg az elsődleges adatfelvétel.

(5) A Kitüntetésekkel kapcsolatos nyilvántartás kezelője az Országos Igazgatóság.

(6) A nyilvántartás kezelése vegyes rendszerben számítógépen és manuális módszerrel történik. Az adatok biztonságáról az adatkezelő gondoskodik.

(7) A Magyar Vöröskereszt szervezetén belül a Kitüntetésekkel kapcsolatos nyilvántartásból csak az Országos Vezetőség tagjai, a főigazgató, a főigazgató-helyettes, az Országos Igazgatóság mozgalmi területért felelős munkatársa, valamint a megyei/fővárosi szervezetek vezetői, illetve kitüntetési kérdésekben illetékes ügyintézői részére teljesíthető adatszolgáltatás.

 

5.10. Egyéb nyilvántartások:

(1) Eseti jelleggel (pl. katasztrófa esemény, szociális akció, stb.) az adatkezelési szabályok megtartásával további adatkörök gyűjtésére, kezelésére és nyilvántartására is lehetőség van a Magyar Vöröskereszt főigazgatójának engedélyével és az adatvédelmi tisztviselő jóváhagyásával.

(2) A működési engedélyhez kötött szolgáltatások, valamint a digitális platformok (pl.: honlap, nyilvántartó programok stb.) esetében az egyes szervezeti egységes SZMSZ kiegészítésében szükséges rendelkezni a adatvédelmi és adatkezelési speciális szabályokról, amelyek azonban nem lehetnek elletétesek jelen szabályzat rendelkezéseivel.

 

VI. Adatbiztonsági szabályok személyes adatok kezelése szerint

6.1. Adatbiztonsági szabályok:

(1) Az adatbiztonsági rendszabályok érvényesítése érdekében a szükséges intézkedéseket meg kell tenni mind a manuálisan kezelt, mind a számítógépen tárolt és feldolgozott személyes adatok biztonsága érdekében.

	Számítógépen tárolt adatok	Manuális kezelésű adatok
	A számítógépen, illetve hálózaton tárolt adatok biztonsága érdekében, az IT területnek különösen az alábbi intézkedéseket kell foganatosítani:	A manuális kezelésű személyes adatok biztonsága érdekében az alábbi intézkedéseket kell foganatosítani, minden adatbiztonsági szempontból érintett területnek:
Tűz- és vagyonvédelem:	Az adatokat és adatbázisokat tűz- és vagyonvédelmi berendezésekkel ellátott helyiségben kell elhelyezni.	Az irattári kezelésbe vett iratokat jól zárható, száraz, tűz- és vagyonvédelmi berendezéssel ellátott helyiségben kell elhelyezni.
Hozzáférés-védelem:	Az adathozzáféréshez csak érvényes, személyre szóló, azonosítható jogosultsággal – legalább felhasználói névvel és jelszóval – lehet hozzáférni. A jelszavak cseréjéről rendszeresen gondoskodni kell.	A folyamatos aktív kezelésben lévő, illetve archivált iratokhoz csak az illetékes ügyintézők férhetnek hozzá.
Archiválás:	A személyes adatokat tartalmazó adatbázisok passzív hányadát – a további kezelést már nem igénylő, változatlanul maradó adatokat – el kell választani az aktív résztől, majd a passzivált adatokat időtálló adathordozón kell rögzíteni. Az adatkezelések archiválását évente egyszer kell elvégezni.	Az adatkezelések iratainak archiválását évente egyszer el kell végezni. Az archivált iratokat az Magyar Vöröskereszt iratkezeléssel és selejtezéssel kapcsolatos szabályzatának valamint az irattári terveknek megfelelően kell szétválogatni és irattári kezelésbe venni.
Vírusvédelem:	A Magyar Vöröskereszt minden munkaállomásán, de kiemelten a személyes adatokat kezelő ügyintézők számítógépein gondoskodni kell a valósidejű vírusmentesítésről.	–
Hálózati védelem:	A mindenkor rendelkezésre álló számítástechnikai eszközök felhasználásával meg kell akadályozni, hogy adatokat tároló, hálózaton keresztül elérhető szerverekhez illetéktelen személy hozzáférjen.	–
Tükrözés:	A szervereken a személyes adatok elvesztésének elkerülése folyamatos tükrözéssel biztosítandó egy tőle fizikailag különálló (másik épületben lévő) adathordozón.	–
Biztonsági mentés:	A személyes adatokat tartalmazó adatbázisok aktív adataiból rendszeresen kell külön adathordozóra biztonsági mentést készíteni. A biztonsági mentést tartalmazó adathordozót tűzbiztos fémkazettában/szekrényben kell őrizni.	–

VII. Adatvédelmi nyilvántartás, bejelentési kötelezettség

7.1. Bejelentési kötelezettség:

(1) Nem kell bejelenteni az adatvédelmi nyilvántartásba azt az adatkezelést, amely a Magyar Vöröskereszt munkaviszonyban, tagsági jogviszonyban, önkéntes jogviszonyban, tanulói viszonyban, ügyfélkapcsolatban álló személyek adatait tartalmazza, illetve amely az adatalany anyagi és egyéb szociális támogatását célzó és nyilvántartó adatokat tartalmazza.

(2) A fentiektől eltérő jellegű adatkezelési tevékenységet be kell jelenteni az adatvédelmi biztosnak, ez az adatvédelmi tisztviselő feladata. A Szervezet a nyilvántartásba vételkor nyilvántartási számot kap az adatvédelmi biztostól, melyet az adatok minden továbbításánál, nyilvánosságra hozásánál és az adatalanynak való kiadásakor fel kell tüntetni.

(3) Minden adatkezelésben érintett szakterület kötelessége, hogy új adatkezelés megkezdését megelőzően, legalább 8 nappal tájékoztassa az adatvédelmi tisztviselőt, valamint továbbítsa számára a kitöltött adatlapot az adatvédelmi nyilvántartásba vételhez. Ugyanez a feladat, ha az adatkezelés valamelyik paramétere megváltozik, tehát az adatkezelő szakterületnek továbbítania kell a módosított adatlapot a belső adatvédelmi tisztviselőnek.

 

VIII. Az adatalany jogai és érvényesítésük

8.1. Tájékoztatás kérése:

(1) Az adatalany tájékoztatást kérhet az adatai kezelésével kapcsolatos minden tényről, így különösen az adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult személyéről, az adatkezelés időtartamáról, illetve arról, hogy kik ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel kapcsolatos jogaira és jogorvoslati lehetőségeire is.

(2) Az adatalany a Magyar Vöröskereszt illetékes ügykezelőjétől tájékoztatást kérhet a róla szóló adatkezelésről és abba bele is tekinthet. A betekintést úgy kell biztosítani, hogy ez alatt az adatalany más személy adatait ne ismerhesse meg.

(3) A betekintési igényeket az adatvédelmi tisztviselőnek kell továbbítani.

 

8.2. A Magyar Vöröskereszt tájékoztatási kötelezettsége:

(1) Az Adatvédelmi törvény értelmében a Magyar Vöröskereszt köteles a kérelem benyújtásától számított legrövidebb idő alatt, de legfeljebb 30 napon belül írásban, közérthető formában megadni a tájékoztatást az ügyfélnek. Ennek megszervezése az adatvédelmi tisztviselő feladata.

(2) A tájékoztatás ingyenes, ha a tájékoztatást kérő a folyó évben azonos területre (egyazon adatkezelésre) vonatkozó tájékoztatási kérelmet a Magyar Vöröskereszt felé még nem nyújtott be. Egyéb esetekben költségtérítés állapítható meg. A már megfizetett költségtérítést vissza kell téríteni, ha az adatokat jogellenesen kezelték, vagy a tájékoztatás kérése helyesbítéshez vezetett.

(3) Az adatalany tájékoztatása, illetve a betekintés biztosítása csak akkor tagadható meg, ha azt a törvény az állam külső és belső biztonsága, a honvédelem, a nemzetbiztonság, a bűnmegelőzés vagy bűnüldözés érdekében, továbbá állami vagy helyi önkormányzati gazdasági vagy pénzügyi érdekből, illetve az EU jelentős gazdasági vagy pénzügyi érdekéből, valamint a foglalkozások gyakorlásával összefüggő fegyelmi és etikai vétségek, a munkajogi és munkavédelmi kötelezettségszegések megelőzése és feltárása céljából, továbbá az adatalany vagy mások jogainak védelme érdekében lehetővé teszi.

(4) A Magyar Vöröskereszt adatvédelmi tisztviselője köteles az adatalannyal a felvilágosítás megtagadásának indokát közölni.

(5) Az elutasított kérelmekről a Magyar Vöröskereszt belső adatvédelmi tisztviselője az adatvédelmi biztost évente értesíti.

 

8.3. Adatváltozás/téves rögzítés:

(1) Adatváltozás, vagy téves rögzítés észlelése esetén az adatalany kérheti kezelt adatainak helyesbítését, illetve kijavítását.

(2) Nem kötelező adatszolgáltatáson alapuló adatkezelés esetén az adatalany indokolás nélkül kérheti kezelt adatainak törlését. Az adatkezelés törlésével, megszüntetésével kapcsolatos tényeket jegyzőkönyvbe kell venni.

(3) A helyesbítésről és a törlésről az érintettet, továbbá mindazokat értesíteni kell, akiknek korábban az adatot adatkezelés céljára továbbították. Az értesítés mellőzhető, ha ez az adatkezelés céljára való tekintettel az érintett jogos érdekét nem sérti.

 

8.4. Panaszkezelés, jogorvoslat:

(1) Adatkezeléssel kapcsolatos jogainak megsértése esetén az adatalany a Magyar Vöröskereszt adatvédelmi tisztviselőéhez, bírósághoz, valamint Hatósághoz fordulhat:
Név: Nemzeti Adatvédelmi és Információszabadság Hatóság
Székhely: 1125 Budapest, Szilágyi Erzsébet fasor 22/c.
Postacím: 1125 Budapest, Szilágyi Erzsébet fasor 22/c.
Telefon: 06-1-391-1400
Telefax: 06-1-391-1410
E-mail: ugyfelszolgalat@naih.hu

 

8.5. Tiltakozás:

(1) Az adatalany nyilatkozhat, mellyel személyes adatainak kezelését kifogásolja, és az adatkezelés megszüntetését, illetve a kezelt adatok törlését kéri.

(2) A Magyar Vöröskereszt adatvédelmi tisztviselője – az adatkezelés egyidejű felfüggesztésével – a tiltakozást köteles a kérelem benyújtásától számított legfeljebb 15 nap alatt megvizsgálni, és annak eredményéről a kérelmezőt írásban tájékoztatni.

(3) Amennyiben a tiltakozás indokolt, a Magyar Vöröskereszt köteles az adatkezelést – beleértve a további adatfelvételt és adattovábbítást is – megszüntetni és az adatokat zárolni, valamint a tiltakozásról, illetőleg az annak alapján tett intézkedésekről értesíteni mindazokat, akik részére a tiltakozással érintett személyes adatot korábban továbbította, és akik kötelesek intézkedni a tiltakozási jog érvényesítése érdekében.

(4) A Magyar Vöröskereszt az adatalany adatát nem törölheti, ha az adatkezelést törvény rendelte el. Az adat azonban nem továbbítható az adatátvevő részére, ha az Magyar Vöröskereszt egyetértett a tiltakozással, illetőleg bíróság a tiltakozás jogosságát megállapította.

 

IX. Záró rendelkezések

9.1. Záró rendelkezések:

(1) A Magyar Vöröskereszt Adatvédelmi Szabályzatát a Magyar Vöröskereszt főigazgatója fogadja el és lépteti hatályba utasítással.

(2) A Szabályzat elfogadását követő 30 napon belül ki kell nevezni a Magyar Vöröskereszt adatvédelmi tisztviselőjét és közzéteszi annak elérhetőségeit a voroskereszt.hu honlapon, majd bejelenti azt a Hatóság felé.

(3) A Szabályzat elfogadását követő 30 napon belül ki kell nevezni a Magyar Vöröskereszt adatvédelmi kapcsolattartóit minden megyei/fővárosi igazgaztóságon és ezen személyek elérhetőségeit szükséges megküldeni az Országos Igazgatóság számára.

(4) A Magyar Vöröskereszt Országos Igazgatósága, valamint a megyei/fővárosi szervezetei kötelesek a helyi sajátosságokat figyelembe véve megalkotni a szervezeti egységekre vonatkozó adatvédelmi és –kezelési szabályokat; ezeket a szabályokat az SZMSZ kiegészítésben szükséges rögzíteni, amelyek nem lehetnek elletétesek a jelen szabályzatban foglaltakkal. Az SZMSZ kiegészítések adatvédelemre és adatkezelésre vonatkozó rendelkezései között rögzíteni szükséges a helyben nyilvántartott adatok körét, az adatkezelés alapját elrendelő jogszabályt (amennyiben releváns), különös tekintettel a működési engedély alapján nyújtott szolgáltatásokra és a digitális platformokra vonatkózóan (pl.: megyei/fővárosi kezelésben működő honlapok, nyilvántartást is tartalmazó szoftverek stb). Az adatvédelemre és adatkezelésre vonatkozó, SZMSZ kiegészítésekben rögzített szabályok megalkotásának határideje: 2019. május 31.

(5) A Szabályzat 2019. március 1.-ével lép hatályba.