A MAGYAR ALKOTÓMŰVÉSZEK ORSZÁGOS EGYESÜLETE
ADATVÉDELMI SZABÁLYZATA

A Magyar Alkotóművészek Országos Egyesület (a továbbiakban: „MAOE”) az alábbiak szerint határozza meg a MAOE adatvédelmi szabályzatát (a továbbiakban: „Szabályzat”).

A jelen szabályzat célja, hogy a MAOE megfeleljen az Európai Parlament és a Tanács a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló 2016/679 Rendeletének (általános adatvédelmi rendelet; a továbbiakban: Rendelet), továbbá a vonatkozó egyéb jogszabályoknak.

1.           A MAOE adatkezelésének alapelvei

1.1.        A MAOE tiszteletben tartja az adatvédelmi jog alapelveit, így

a)  a személyes adatokat jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kezeli („jogszerűség, tisztességes eljárás, átláthatóság elve”; Rendelet 5. cikk (1) bekezdés a) pontja);

b)  személyes adatokat csak meghatározott, egyértelmű és jogszerű célból kezel, illetve az adatokat az említett célokkal össze nem egyeztethető módon nem kezel („célhoz kötöttség elve”; Rendelet 5. cikk (1) bekezdés b) pontja);

c)  csak az adatkezelés céljai szempontjából megfelelő és releváns személyes adatokat kezel, a szükséges mértékben („adattakarékosság elve”; Rendelet 5. cikk (1) bekezdés c) pontja);

d) biztosítja a kezelt személyes adatok pontosságát és naprakészségét, továbbá minden észszerű intézkedést megtesz annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék („pontosság elve” Rendelet 5. cikk (1) bekezdés d) pontja);

e)  biztosítja, hogy a személyes adatokat tárolása oly módon történjék, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé („korlátozott tárolhatóság elve”; Rendelet 5. cikk (1) bekezdés e) pontja);

f)  megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítja a személyes adatok megfelelő biztonságát, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet („integritás és bizalmas jelleg elve”; Rendelet 5. cikk (1) bekezdés e) pontja).

1.2.        A MAOE a személyes adatokat oly módon kezeli, hogy képes legyen a fenti alapelveknek történő megfelelés igazolására („elszámoltathatóság elve”; Rendelet 5. cikk (2) bekezdése).

2.           A MAOE adatkezelésének jogalapja

2.1.        Személyes adatot a MAOE kizárólag a Rendelet 6. cikk (1) bekezdésében meghatározott jogcímek alapján kezel, különösen, ha az

a)  érintett hozzájárulását adta személyes adatainak kezeléséhez;

b)  adatkezelés olyan a MAOE-vel kötendő szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések MAOE általi megtételéhez szükséges;

c)  adatkezelés a MAOE-re vonatkozó jogi kötelezettség teljesítéséhez szükséges;

d) adatkezelés a MAOE vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

2.2.        Ha az adatkezelésre a MAOE vagy harmadik fél jogos érdekében (2.1. d) pont) kerül sor, úgy a MAOE a személyes adatokat csak előzetes érdekmérlegelési teszt elvégzését követően kezel. A teszt érdekében a MAOE0

a)  meghatározza, hogy mi alkotja a MAOE, illetve harmadik fél jogos érdekét;

b)  meghatározza, hogy mi alkotja az érintettek olyan érdekeit, vagy alapvető jogait és szabadságait, amelyek a személyes adatok védelmét teszik szükségessé;

c)  megvizsgálja, hogy rendelkezésére áll-e olyan megoldás, amely a személyes adatok kezelését elkerülhetővé teszi.

2.3.        A MAOE az előzetes érdekmérlegelési teszt elvégzését, illetve annak eredményét dokumentálja. Ha az érdekmérlegelési teszt alapján az adatok jogszerű, a fenti alapelveknek megfelelő kezeléséhez csak további intézkedések, illetve garanciák biztosítása után lehetséges, a MAOE csak ezek biztosítását követően kezdi meg az adatok kezelését.

2.5.        A MAOE a személyes adatok különleges kategóriáiba tartozó adatot kizárólag a szociális segélyező tevékenységgel összefüggésben kezel, az érintett kifejezett hozzájárulása alapján. Az említett adatkezelési célon kívül ilyen személyes adatot tartalmazó iratot a MAOE másolat készítése nélkül törli, illetve megsemmisíti.

3.           A MAOE által biztosított átlátható tájékoztatás

3.1.        Ha az érintettre vonatkozó személyes adat az érintettől jut a MAOE birtokába, úgy a MAOE a jelen Szabályzat szerinti hozzájáruló nyilatkozatot és adatkezelési tájékoztatót alkalmazza.

3.2.        A MAOE az alábbi adatokat bocsátja az érintett rendelkezésére, ha a személyes adatot a MAOE nem az érintettől szerezte meg:

a)  a MAOE székhelye, elektronikus levelezési címe, telefonszáma;

b)  a MAOE elnökének neve és elérhetőségei;

c)  a személyes adatok kezelésének célja, valamint az adatkezelés jogalapja;

d) az érintett személyes adatok kategóriái;

f)  a személyes adatok címzettjei, illetve a címzettek kategóriái;

g)  ha van ilyen, a személyes adatok harmadik országokba történő továbbítása esetén a Rendeletben meghatározott információk;       

h)  a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

i)   ha az adatkezelés jogalapja a 2.1. d) pont szerinti jogalap, úgy a MAOE jogos érdeke; 

j)   tájékoztatás arról, hogy az érintett kérelmezheti a MAOE-től a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat személyes adatai kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;

k)  tájékoztatás arról, hogy hozzájáruláson alapuló adatkezelés esetén a hozzájárulás bármely időpontban visszavonható, amely visszavonás azonban nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;

l)   tájékoztatás a Nemzeti Adatvédelmi és Információszabadság Hatóság, mint felügyeleti hatósághoz címzett panasz benyújtásának jogáról;

m) tájékoztatás a személyes adatok forrásáról és adott esetben arról, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak-e;

n)  tájékoztatás az automatizált döntéshozatal tényéről, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikáról és arra vonatkozó érthető információkról, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.

3.3.        A 3.2. pont szerinti adatokat a MAOE legkésőbb egy hónapon belül közöli az érintettel. Ha a személyes adatokat az érintettel való kapcsolattartás céljára használják, legkésőbb az érintettel való első kapcsolatfelvétel alkalmával kell közölni az információkat.

3.4.        A MAOE a Rendelet 14. cikk (5) bekezdésében foglalt esetekben az érintett tájékoztatására vonatkozó szabályokat nem alkalmazza.

4.           Az érintett hozzáférési joga

4.1.        Ha arra az érintett igényt tart, a MAOE az érintettet tájékoztatja arról, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, hozzáférést biztosít a személyes adatokhoz, tájékoztatja továbbá az érintettet az alábbiakról:

a)  az adatkezelés céljairól;

b)  az érintett személyes adatok kategóriáiról;

c)  azon címzettekről vagy címzettek kategóriáiról, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

d) a személyes adatok tárolásának tervezett időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;

e)  az érintett azon jogáról, hogy kérelmezheti a MAOE-től a rá vonatkozó személyes adatok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen;

f)  a Nemzeti Adatvédelmi és Információszabadság Hatósághoz címzett panasz benyújtásának jogáról;

g)  ha a személyes adatokat nem az érintettől gyűjtötték, a forrásukra vonatkozó minden elérhető információról;

h)  az automatizált döntéshozatal tényéről, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikáról és arra vonatkozó érthető információkról, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.

4.2.        Ha személyes adatoknak harmadik országba vagy nemzetközi szervezet részére történő továbbítására kerül sor, az érintett jogosult arra, hogy tájékoztatást kapjon a továbbításra vonatkozó garanciákról.

4.3.        A MAOE az adatkezelésével érintett személyes adatok másolatát az érintett kérésére az érintett rendelkezésére bocsátja. Az érintett által kért további másolatokért a MAOE az adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel. Ha az érintett elektronikus úton nyújtotta be a kérelmet, az információkat széles körben használt elektronikus formátumban kell rendelkezésre bocsátani, kivéve, ha az érintett másként kéri. A másolat igénylésére vonatkozó jog nem érintheti hátrányosan mások jogait és szabadságait.

5.           A helyesbítéshez való jog

5.1.        A MAOE az érintett erre vonatkozó kérésére indokolatlan késedelem nélkül helyesbíti az érintettre vonatkozó pontatlan személyes adatokat, valamint biztosítja a hiányos személyes adatok kiegészítését.

5.2.        A MAOE minden olyan címzettet tájékoztat valamennyi helyesbítésről, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére a MAOE tájékoztatja e címzettekről.

6.           A törléshez való jog („az elfeledtetéshez való jog”)

6.1.        Az érintett erre vonatkozó kérésére a MAOE indokolatlan késedelem nélkül törli az érintettre vonatkozó személyes adatokat, ha

a)  a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;

b)  az érintett visszavonja az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;

c)  az érintett tiltakozik az adatkezelése ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre;

d) az érintett személyes adatainak kezelése jogszerűtlen;

e)  a személyes adatokat a MAOE-re alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;

f)  a személyes adatok gyűjtésére gyermekek számára nyújtott információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.

6.2.        A MAOE minden olyan címzettet tájékoztat valamennyi törlésről, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére a MAOE tájékoztatja e címzettekről.

7.           Az adatkezelés korlátozásához való jog

7.1.        Az érintett kérelmére a MAOE korlátozza az adatkezelést, ha

a)  az érintett vitatja a személyes adatok pontosságát, ez esetben a korlátozás arra az időtartamra vonatkozik, amely lehetővé teszi, hogy az adatkezelő ellenőrizze a személyes adatok pontosságát;

b)  az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;

c)  a MAOE-nek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez;

d) az érintett jogos érdekből vagy közérdekű célból végzett adatkezelés ellen tiltakozott; ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben.

7.2.        A MAOE minden olyan címzettet tájékoztat valamennyi adatkezelést illető korlátozásról, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az érintettet kérésére a MAOE tájékoztatja e címzettekről.

8.           Az adathordozhatósághoz való jog

8.1.        Az érintett jogosult arra, hogy a rá vonatkozó, a MAOE rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa, ha

a)  az adatkezelés a Rendelet szerinti hozzájáruláson vagy szerződésen, mint jogalapon alapszik, és

b)  az adatkezelés automatizált módon történik.

8.2.        Az adathordozhatósághoz való jog alkalmazásának kizárására és korlátozására a Rendelet szabályait kell alkalmazni.

9.           A tiltakozáshoz való jog

9.1.        Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból bármikor tiltakozzék adatainak közérdekű célból vagy jogos érdekből végzett adatkezelése ellen, ideértve a profilalkotást is. Ebben az esetben a MAOE a személyes adatokat nem kezelheti tovább, kivéve, ha bizonyítja, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.

9.2.        A tiltakozáshoz való jogra legkésőbb az érintettel való első kapcsolatfelvétel során kifejezetten fel kell hívni annak figyelmét, és az erre vonatkozó tájékoztatást egyértelműen és minden más információtól elkülönítve kell megjeleníteni.

10.         Automatizált döntéshozatal, profilalkotás

A MAOE automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntéshozatalt nem alkalmaz.

11.         Incidensek kezelése

11.1.      A MAOE az adatkezelésével összefüggésben bekövetkezett adatvédelmi incidenst a tudomására jutását követően indokolatlan késedelem nélkül, ha lehetséges, legkésőbb 72 órával bejelenti a Nemzeti Adatvédelmi és Információszabadság Hatóságnak. Ha a bejelentésre több mint 72 órával a tudomásra jutást követően kerül sor, a bejelentéshez mellékelni kell a késedelem igazolására szolgáló indokokat is. E kötelezettség teljesítése érdekében a MAOE-vel munkavégzésre irányuló jogviszonyban állók kötelesek a tudomásukra jutott adatvédelmi incidensről a MAOE elnökét haladéktalanul tájékoztatni.

11.2.      A bejelentés nem kell megtenni, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. A bejelentés elhagyásáról szóló döntést a MAOE elnöke jogosult meghozni, mérlegelve az eset összes körülményeit.

11.3.      A MAOE nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket.

11.4.      Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve a MAOE indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.

11.5.      A MAOE az érintettet nem értesíti az adatvédelmi incidensről, ha

a)  megfelelő technikai és szervezési védelmi intézkedéseket hajtott végre, és ezeket az intézkedéseket az adatvédelmi incidens által érintett adatok tekintetében alkalmazta, különösen azokat az intézkedéseket – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat; vagy

b)  az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg; vagy

c)  a tájékoztatás aránytalan erőfeszítést tenne szükségessé, amely esetben az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni, vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek hasonlóan hatékony tájékoztatását.

12.         Adatfeldolgozó igénybevétele, adatfeldolgozási szerződés

12.1.      A MAOE adatkezelőként csak olyan adatfeldolgozókat vesz igénybe, akik, illetve amelyek megfelelő garanciát nyújtanak a Rendelet követelményeinek való megfelelésére. Az adatfeldolgozási szerződést írásban kell megkötni, és annak eleget kell tennie az e pontban szabályozott tartalmi követelményeknek.  

12.2.      Az adatfeldolgozási szerződésben ki kell kötni, hogy az adatfeldolgozó további adatfeldolgozót csak a MAOE előzetes engedélyével vehet igénybe. Ha a MAOE további adatfeldolgozó igénybevételéhez általános jelleggel járul hozzá, az adatfeldolgozási szerződésben ki kell kötni, hogy az igénybe vett további adatfeldolgozó személyének változásáról az adatfeldolgozó a MAOE-t tájékoztatni köteles, a további adatfeldolgozó személyével szemben pedig a MAOE kifogást emelhet, melyet adatfeldolgozó köteles figyelembe venni.

12.3.      Ha az adatfeldolgozó – a MAOE hozzájárulásával – további adatfeldolgozó szolgáltatásait is igénybe veszi, adatfeldolgozó köteles erre a további adatfeldolgozóra is ugyanazokat az adatvédelmi kötelezettségeket telepíteni, mint amelyek a MAOE és az adatfeldolgozó között létrejött szerződésben szerepelnek.

12.4.      Az adatfeldolgozási szerződésben rögzíteni kell, hogy az adatfeldolgozó a személyes adatokat kizárólag a MAOE írásbeli utasításai alapján kezelheti, beleértve a személyes adatoknak valamely harmadik ország vagy nemzetközi szervezet számára való továbbítását is. Ha az adatkezelést az adatfeldolgozóra alkalmazandó jogszabály írja elő, az alkalmazandó jogi előírásról az adatfeldolgozó a MAOE-t az adatkezelést megelőzően értesíti, kivéve, ha ezt az adott jogszabály fontos közérdekből tiltja.

12.5.      A szerződésben ki kell kötni, hogy a személyes adatokat csak olyan személyek kezelhetik, akik írásban titoktartási kötelezettséget vállaltak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak.

12.6.      A szerződésnek rögzítenie kell, hogy az adatfeldolgozó köteles biztosítani a Rendeletben foglalt adatbiztonsági követelményeket. A szerződésben ki kell mondani, hogy az adatfeldolgozó megfelelő technikai és szervezési intézkedésekkel a lehetséges mértékben segíteni köteles a MAOE-t abban, hogy teljesíteni tudja kötelezettségét az érintett jogainak gyakorlásához kapcsolódó kérelmek megválaszolása tekintetében.

12.7.      A szerződésnek rögzítenie kell azt, hogy az adatfeldolgozó segíti a MAOE-t az adatkezelés biztonságát, az adatvédelmi incidensek hatósági bejelentését, az érintettek az adatvédelmi incidensekről történő tájékoztatását, valamint az adatvédelmi hatásvizsgálatot és előzetes konzultációt illető kötelezettségei gyakorlásában. A szerződésnek ki kell mondania, hogy az adatfeldolgozó köteles a tudomására jutott adatvédelmi incidensről a MAOE-t haladéktalanul tájékoztatni.

12.8.      A szerződésnek rögzítenie kell, hogy az adatfeldolgozás befejezését követően a MAOE döntése alapján az adatfeldolgozó minden személyes adatot töröl vagy visszajuttat a MAOE-nek, és törli a meglévő másolatokat, kivéve, ha az uniós vagy a magyar jog az személyes adatok tárolását írja elő.

12.9.      A szerződésnek rögzítenie kell, hogy az adatfeldolgozó a MAOE rendelkezésére köteles bocsátani minden olyan információt, amely a Rendeletben meghatározott kötelezettségek teljesítésének igazolásához szükséges, továbbá amely lehetővé teszi és elősegíti a MAOE vagy a MAOE által megbízott más ellenőr által végzett auditokat, beleértve a helyszíni vizsgálatokat is.

13.         Az adatkezelési és adatfeldolgozási tevékenységek nyilvántartása

13.1.      Adatkezeléseiről a MAOE nyilvántartást vezet az 1. mellékletben meghatározott tartalommal.

13.2.      A nyilvántartások vezetéséért az elnökség a felelős. A MAOE munkavállalóinak kötelezettsége a személyes adatkezeléssel vagy adatfeldolgozással kapcsolatos tervezett tevékenységek bejelentése az elnöknek. Az elnökség – szükség szerint jogi állásfoglalás beszerzése után – bevezeti a változást a MAOE nyilvántartásába.

14.         Záró rendelkezések

14.1.      Az egyesület jelen Szabályzata 2018. május 28. napján lép hatályba határozatlan időtartamra.

14.2.      A Szabályzat mellékletei:

• 1. számú melléklet: Az adatkezelések nyilvántartása a Rendelet 30.cikkének (1) bekezdése alapján
• 2. számú melléklet: Az adatvédelmi incidensek nyilvántartása
• 3. számú melléklet: Hozzájárulás és tájékoztatás minta

Kelt Budapesten, 2018. július .

                                                                               _________________________

                                                                                              Aknay János

                                                                                                    elnök

                                                                                                  MAOE

1. számú melléklet

Az adatkezelések nyilvántartása

2. számú melléklet

Adatvédelmi incidensek nyilvántartása

1. A MAOE az adatvédelmi incidensekről az alábbi adatokat tartja nyilván:

a) az adatvédelmi incidens észlelésének időpontja;

b) ha megállapítható, az adatvédelmi incidens bekövetkezésének időpontja;

c) az incidens jellege, beleértve annak megjelölését, hogy

i)    (ha lehetséges), hogy az incidenssel az érintettek mely kategóriáját és milyen számban érintette,

ii)   (ha lehetséges), hogy az incidens mely adatokat és hozzávetőlegesen milyen számban érintett.

d) az adatvédelmi incidens valószínűsíthető következményei;

e) az incidens orvoslására tett vagy tervezett intézkedések, beleértve a hátrányos következmények enyhítését célzó intézkedéseket is. 

2. A MAOE az adatvédelmi incidensekről vezetett nyilvántartást elektronikus úton vezeti.