Gyenesdiási Horgász és Vízisport Egyesület
Adatvédelmi, adatkezelési és
adatbiztonsági szabályzata
2023
2
Gyenasdiási Horgász és Vízisport Egyesület adatvédelmi,
adatkezelési és adatbiztonsági szabályzata
1. A szabályzat célja, hatálya
1.1. E szabályzat célja, hogy meghatározza a adatkezelőnél vezetett nyilvántartások
működésének törvényes rendjét, valamint biztosítsa az adatvédelem alkotmányos
elveinek, az információs önrendelkezési jognak és adatbiztonság követelményeinek
érvényesülését, valamint, hogy a törvényi szabályozás keretei között személyes adataival
mindenki maga rendelkezzen és a közérdekű adatokat megismerhesse, és megakadályozza
a jogosulatlan hozzáférést, az adatok megváltoztatását és jogosulatlan nyilvánosságra
hozatalát.
1.2. A szabályzat hatálya kiterjed valamennyi, az Egyesület működési területének
megfelelő személyes adatok kezelésére. Ennek részletes bemutatása a szabályzat
4.pontjában.
1.3. A szabályzat megalkotásában a 2011. évi CXII. az információs önrendelkezési jogról és
az információszabadságról szóló törvény, illetve az Európai Parlament és a Tanács
2016/679 rendelete volt irányadó.
1.4. A szabályzat értelmében az alábbiakban a Gyenesdiási Horgász és Vízisport Egyesület
(továbbiakban: Egyesület), mint adatkezelő kerül megnevezésre. Az ettől való eltérést a
szabályzat külön nevesíti.
1.5. Jelen szabályzatban nem szabályozott kérdésekben az adatkezelési rendet a
vonatkozó, helyi önkormányzati, hazai, uniós jogszabályok határozzák meg.
2. Fogalom-meghatározások
2.1. érintett: bármely információ alapján azonosított vagy azonosítható természetes
személy;
2.2. azonosítható természetes személy: az a természetes személy, aki közvetlen vagy
közvetett módon, különösen valamely azonosító, például név, azonosító szám,
helymeghatározó adat, online azonosító vagy a természetes személy fizikai, fiziológiai,
genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy
több tényező alapján azonosítható;
2.3. személyes adat: az érintettre vonatkozó bármely információ;
2.4. különleges adat: a személyes adatok különleges kategóriáiba tartozó minden adat,
azaz a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti
meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai
adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az
egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális
irányultságára vonatkozó személyes adatok;
3
2.5. közérdekű adat: az állami vagy helyi önkormányzati feladatot, valamint jogszabályban
meghatározott egyéb közfeladatot ellátó szerv vagy személy kezelésében lévő és
tevékenységére vonatkozó vagy közfeladatának ellátásával összefüggésben keletkezett, a
személyes adat fogalma alá nem eső, bármilyen módon vagy formában rögzített
információ vagy ismeret, függetlenül kezelésének módjától, önálló vagy gyűjteményes
jellegétől, így különösen a hatáskörre, illetékességre, szervezeti felépítésre, szakmai
tevékenységre, annak eredményességére is kiterjedő értékelésére, a birtokolt adatfajtákra
és a működést szabályozó jogszabályokra, valamint a gazdálkodásra, a megkötött
szerződésekre vonatkozó adat;
2.6. közérdekből nyilvános adat: a közérdekű adat fogalma alá nem tartozó minden olyan
adat, amelynek nyilvánosságra hozatalát, megismerhetőségét vagy hozzáférhetővé tételét
törvény közérdekből elrendeli;
2.7. hozzájárulás: az érintett akaratának önkéntes, határozott és megfelelő tájékoztatáson
alapuló egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy az akaratát
félreérthetetlenül kifejező más magatartás és cselekedet útján jelzi, hogy beleegyezését
adja a rá vonatkozó személyes adatok kezeléséhez;
2.8. adatkezelő: az a természetes vagy jogi személy, illetve jogi személyiséggel nem
rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi
aktusában meghatározott keretek között – önállóan vagy másokkal együtt az adat
kezelésének célját és eszközeit meghatározza, az adatkezelésre vonatkozó döntéseket
meghozza és végrehajtja, vagy az adatfeldolgozóval végrehajtatja;
2.9. adatkezelés: az alkalmazott eljárástól függetlenül a személyes adaton vagy
adatállományon automatizált vagy nem automatizált módon végzett bármely művelet vagy
a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése,
tagolása, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása,
nyilvánosságra hozatala, terjesztése, vagy egyéb módon történő hozzáférhetővé tétele,
összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az
adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel
készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy
tenyérnyomat, DNS-minta, íriszkép) rögzítése;
2.10. adattovábbítás: az adat meghatározott harmadik személy számára történő
hozzáférhetővé tétele;
2.11. nyilvánosságra hozatal: az adat bárki számára történő hozzáférhetővé tétele;
2.12. adatkezelés korlátozása: a tárolt adat zárolása, az adat további kezelésének
korlátozása céljából történő megjelölése útján;
2.13. adattörlés: az adatok felismerhetetlenné tétele oly módon, hogy a helyreállításuk
többé nem lehetséges;
2.14. adatmegsemmisítés: az adatokat tartalmazó adathordozó teljes
fizikai megsemmisítése;
2.15. adatfeldolgozó: az a természetes vagy jogi személy, illetve jogi személyiséggel nem
rendelkező szervezet, aki vagy amely – törvényben vagy az Európai Unió kötelező jogi
aktusában meghatározott keretek között és feltételekkel – az adatkezelő nevében,
megbízásából vagy rendelkezése alapján személyes adatokat kezel;
4
2.16. adatfeldolgozás: az adatkezelő megbízásából vagy rendelkezése alapján eljáró
adatfeldolgozó által végzett adatkezelési műveletek összessége; 2.17. adatállomány: az egy
nyilvántartásban kezelt adatok összessége;
2.18. harmadik személy: olyan természetes vagy jogi személy, illetve jogi személyiséggel
nem rendelkező szervezet, aki vagy amely nem azonos az érintettel, az adatkezelővel, az
adatfeldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy adatfeldolgozó
közvetlen irányítása alatt személyes adatok kezelésére irányuló műveleteket végeznek;
2.19. címzett: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy
bármely egyéb szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy
harmadik fél-e;
2.20. adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt
vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését,
elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az
azokhoz való jogosulatlan hozzáférést eredményezi;
2.20. profilalkotás: személyes adat bármely olyan – automatizált módon történő –
kezelése, amely az érintett személyes jellemzőinek, különösen a munkahelyi
teljesítményéhez, gazdasági helyzetéhez, egészségi állapotához, személyes preferenciáihoz
vagy érdeklődéséhez, megbízhatóságához, viselkedéséhez, tartózkodási helyéhez vagy
mozgásához kapcsolódó jellemzőinek értékelésére, elemzésére vagy előrejelzésére irányul;
2.21. álnevesítés: személyes adat olyan módon történő kezelése, amely – a személyes
adattól elkülönítve tárolt – további információ felhasználása nélkül megállapíthatatlanná
teszi, hogy a személyes adat mely érintettre vonatkozik, valamint műszaki és szervezési
intézkedések megtételével biztosítja, hogy azt azonosított vagy azonosítható természetes
személyhez ne lehessen kapcsolni.
2.22. nyilvántartási rendszer: a személyes adatok bármely módon (centralizált,
decentralizált vagy funkcionális vagy földrajzi szempontok szerint) tagolt állománya, amely
meghatározott ismérvek alapján hozzáférhető.
3. Személyes adatok kezelésének alapelvei és alapvető keretei
3.1. Személyes adat kizárólag egyértelműen meghatározott, jogszerű célból, jog gyakorlása
és kötelezettség teljesítése érdekében kezelhető.
3.2. A személyes adatok kezelése az adatkezelőnél a következő elveken alapul:
• az adatok gyűjtése és kezelése tisztességes, az érintett számára átlátható és
törvényes,
• adat csak a cél megvalósulásához szükséges mértékben és ideig kezelhető,
• biztosítani kell az adatok pontosságát, teljességét és naprakészségét,
• biztosítani kell a személyes adatok megfelelő biztonságát,
• biztosítani kell a „korlátozott tárolhatóság” elvét, miszerint a tárolásnak olyan
formában kell történnie, amely az érintettek azonosítását csak a személyes adatok
céljainak eléréséhez szükséges ideig teszi lehetővé,
5
• biztosítani kell a személyes adatok tulajdonosainak jogait: előzetes tájékozódáshoz
való jog, hozzáféréshez való jog, helyesbítéshez való jog, az adatkezelés
korlátozásához való jog, törléshez való jog.
3.3. Személyes adat akkor kezelhető az adatkezelőnél, ha azt törvény vagy helyi
önkormányzat rendelete közérdeken alapuló célból elrendelte vagy az adatkezelő
feladatainak ellátásához feltétlenül szükséges és az érintett a személyes adatok
kezeléséhez kifejezetten hozzájárult.
3.4. Különleges adat akkor kezelhető, ha
3.4.1. az törvényben kihirdetett, nemzetközi szerződés végrehajtásához feltétlenül
szükséges és azzal arányos, vagy azt az Alaptörvényben biztosított alapvető jog
érvényesítése elrendeli, vagy
3.4.2. az érintett, vagy más személy létfontosságú érdekeinek védelméhez, valamint a
személyek életét, testi épségét vagy javait fenyegető közvetlen veszély elhárításához
vagy megelőzéséhez szükséges és azzal arányos, vagy
3.4.3. a személyes adatot az érintett kifejezetten nyilvánosságra hozta és az az
adatkezelés céljának megvalósulásához szükséges és azzal arányos, vagy
3.4.4. a hatékony és biztonságos szolgáltatás nyújtásához elengedhetetlen és amennyiben
a különleges adatok kezeléséhez az érintett aláírásával hozzájárul.
3.4.5. A különleges adatok további kezelési lehetőségeiről az Európai Parlament és a
Tanács 2016/679 rendeletének 9. cikkelye rendelkezik.
3.5. A kezelendő adatok fajtáit, az adatkezelés célját és feltételeit, az adatok
megismerhetőségét, az adatkezelő személyét, valamint az adatkezelés időtartamát
vagy szükségessége időszakos felülvizsgálatát az adatkezelést elrendelő törvény, illetve
önkormányzati rendelet határozza meg. A Sportegyesületnél kezelt adatok személyek
csoportjára, ügytípusra és az adatkezelési célokra lebontott részletezése az 1. sz.
mellékletben található.
3.6. Ha a kötelező adatkezelés időtartamát vagy szükségessége időszakos felülvizsgálatát
törvény, helyi önkormányzat rendelete vagy az Európai Unió kötelező jogi aktusa nem
határozza meg, az adatkezelő az adatkezelés megkezdésétől legalább háromévente
felülvizsgálja, hogy az általa, illetve a megbízásából vagy rendelkezése alapján eljáró
adatfeldolgozó által kezelt személyes adat kezelése az adatkezelés céljának
megvalósulásához szükséges-e.
3.7. A felülvizsgálat körülményeit és eredményét az adatkezelő dokumentálja, e
dokumentációt a felülvizsgálat elvégzését követő tíz évig megőrzi és azt a Nemzeti
Adatvédelmi és Információszabadság Hatóság (a továbbiakban: Hatóság) kérésére a
Hatóság rendelkezésére bocsátja.
6
3.8. Különleges adatok kezelése esetén az adatkezelő, illetve a megbízásából vagy
rendelkezése alapján eljáró adatfeldolgozó megfelelő műszaki és szervezési
intézkedésekkel biztosítja, hogy az adatkezelési műveletek végzése során a különleges
adatokhoz kizárólag az rendelkezzen hozzáféréssel, akinek az adatkezelési művelettel
összefüggő feladatának ellátásához feltétlenül szükséges.
4. Adatkezelés és adatfeldolgozás jogalapja és a kezelt adatok köre
4.1. Az adatkezelő
a munkáltatói jogok gyakorlásához,
az Egyesület tevékenységhez kapcsolódó tagdíj, tanyafenntartási díj,
hajó és csónak helyek nyilvántartásának vezetéséhez,
az Egyesület által nyújtott tréningek, képzés, vagy felkészítés
megszervezéséhez, megvalósításához és esetleges publikálásához,
támogatott pályázatokban jelölt tevékenységek megvalósításához,
hírlevélküldéshez,
üzenetküldéshez
marketingtevékenységhez és a médiában történő megjelenésben
nélkülözhetetlenül szükséges személyes és különleges adatokat tartja
nyilván.
4.2. Az Egyesület olyan esetekben vállal adatfeldolgozási feladatot, ahol ezt
törvényben előírt szerv, vagy támogató előírja, szerződésben rögzíti, vagy a
támogatás feltételéül szabja és amennyiben a szolgáltatást igénybe vevő személy
az aláírásával erre felhatalmazást ad.
4.3. A 4.2 pontban leírt esetben az adatkezelő létrehozza a személyes adatok
kezelésére vonatkozó nyilvántartásokat és az azokhoz tartozó adatkezelési
tájékoztatókat.
5. Adattovábbítás, adatfeldolgozás
5.1. Az adatkezelő jogosult adatfeldolgozót igénybe venni és részére az adatokat
továbbítani.
5.2. Az adattovábbítást megelőzően az adatkezelő, illetve a megbízásából vagy
rendelkezése alapján eljáró adatfeldolgozó megvizsgálja a továbbítandó személyes adatok
pontosságát, teljességét és naprakészségét.
5.3. Ha a vizsgálat eredményeként az adatkezelő, illetve a megbízásából vagy rendelkezése
alapján eljáró adatfeldolgozó azt állapítja meg, hogy a továbbítandó adatok pontatlanok,
7
hiányosak, vagy már nem naprakészek, azokat kizárólag abban az esetben továbbíthatja,
ha
a) az adattovábbítás céljának megvalósulásához elengedhetetlenül szükséges, és
b) az adattovábbítással egyidejűleg tájékoztatja a címzettet az adatok pontosságával,
teljességével és naprakészségével összefüggésben rendelkezésére álló információkról.
5.4. Ha törvény, nemzetközi szerződés vagy az Európai Unió kötelező jogi aktusának
rendelkezése alapján az adatkezelő, vagy az adatfeldolgozó személyes adatot akként vesz
át, hogy az adattovábbító adatkezelő, vagy adatfeldolgozó az adattovábbítással egyidejűleg
jelzi a személyes adat
a) kezelésének lehetséges célját,
b) kezelésének lehetséges időtartamát,
c) továbbításának lehetséges címzettjeit,
d) érintettje törvényben biztosított jogainak korlátozását, vagy
e) kezelésének egyéb feltételeit
[az a)–e) pont a továbbiakban együtt: adatkezelési feltételek], a személyes adatokat
átvevő adatkezelő és adatfeldolgozó (a továbbiakban: adatátvevő) a személyes adatot az
adatkezelési feltételeknek megfelelő terjedelemben és módon kezeli, az érintett jogait az
adatkezelési feltételeknek megfelelően biztosítja.
5.5. Személyes adatot az adatkezelő nemzetközi szervezet keretein belül adatkezelést
folytató adatkezelő vagy adatfeldolgozó részére akkor továbbíthat, ha a nemzetközi
adattovábbításhoz az érintett kifejezetten hozzájárult, vagy a nemzetközi adattovábbítás
az adatkezelés céljának eléréséhez szükséges.
5.6. Ha az adattovábbítást követően jut az adatkezelő, illetve a megbízásából vagy
rendelkezése alapján eljáró adatfeldolgozó tudomására, hogy az adattovábbítás
törvényben, nemzetközi szerződésben vagy az Európai Unió kötelező jogi aktusában
meghatározott feltételei nem teljesültek, arról a címzettet haladéktalanul értesíti.
5.7. Ha az adattovábbítás EU/EGT tagállamon kívülre történik, akkor az adatkezelő
meggyőződik arról, hogy az adott partner adatkezelési szabályozása megfelel-e az uniós
szabályoknak, erről nyilatkozatot kér be a külföldi partnerétől.
6. Az érintettek jogai, érintettek adatainak kezelése
6.1. Az érintettek adatkezelése esetén az alapvető jogokat biztosítja az adatkezelő:
• előzetes tájékozódáshoz való jog
• hozzáféréshez való jog
• helyesbítéshez való jog
• az adatkezelés korlátozásához való jog
8
• törléshez való jog,
• tiltakozáshoz való jog.
6.2. Az érintettnek az adatkezeléssel összefüggő tényekről az adatkezelés megkezdését
megelőzően tájékoztatást kell adni. A tájékoztatást könnyen hozzáférhető és olvasható
formában, lényegre törő, világos és közérthetően megfogalmazott tartalommal kell
elektronikus vagy papír alapú formában biztosítani. A tájékoztatás tömör, közérthető,
világos és könnyen hozzáférhető jellegére kiemelt figyelmet kell fordítani a
gyermekeknek címzett bármely információ esetében. Külföldi személyek esetén a
tájékoztatást angol nyelven kell biztosítani.
6.3. Az érintettel az adat felvétele előtt közölni kell az adatkezelés célját, valamint azt,
hogy az adatszolgáltatás önkéntes vagy kötelező. Önkéntes adatszolgáltatás esetén az
érintettet tájékoztatni kell arról, hogy az adatszolgáltatásban való részvétel nem kötelező.
Kötelező adatszolgáltatás esetén meg kell jelölni az adatkezelést elrendelő jogszabályt.
6.3.1. Az érintettet tájékoztatni kell, hogy az adatkezeléshez való hozzájárulása bármely
időpontban visszavonható, amely nem érinti a visszavonás előtt a hozzájárulás alapján
végrehajtott adatkezelés jogszerűségét.
6.4. Az érintettet az adatkezelés megkezdése előtt egyértelműen és részletesen
tájékoztatni kell az adatai kezelésével kapcsolatos minden tényről, így különösen az
adatkezelés céljáról és jogalapjáról, az adatkezelésre és az adatfeldolgozásra jogosult
személyéről és elérhetőségéről, az adatvédelmi referens nevéről és elérhetőségéről. Az
adatkezelés időtartamáról, arról, ha az érintett személyes adatait az adatkezelő az 1.3.
pontban részletezett szabályozó dokumentumok alapján kezeli, illetve arról, hogy kik
ismerhetik meg az adatokat. A tájékoztatásnak ki kell terjednie az érintett adatkezeléssel
kapcsolatos jogaira, azok érvényesítésére és jogorvoslati lehetőségeire is. Az érintett a
tájékoztatásból információt kap az adatkezelés jogalapjáról, a kezelt személyes adatok
megőrzésének időtartamáról, ezen időtartam meghatározásának szempontjairól, a kezelt
személyes adatok továbbítása vagy tervezett továbbítása esetén az adattovábbítás
címzettjeinek köréről, a kezelt személyes adatok gyűjtésének forrásáról és az adatkezelés
körülményeivel összefüggő minden további érdemi tényről.
6.5. Az adatkezelő adatkezelésbe bevont alkalmazottai kötelesek a tudomásukra jutott
adatokat megőrizni és a titoktartás szabályai mellett kezelni.
6.6. Az érintett jogosult kérelem benyújtása után, hogy személyes adatait és az azok
kezelésével összefüggő információkat megismerje, azok helyesbítését, kiegészítését,
korlátozását, törlését kérje. Ezen jogosultságok biztosítása évente egyszeri alkalommal
ingyenes, további kérelmek benyújtása esetén ügyintézési díj kérhető a felmerült költségek
mértékéig.
Az adatkezelő az érintett által benyújtott kérelmet a benyújtástól számított legrövidebb idő
alatt, de legfeljebb huszonöt napon belül elbírálja, és döntéséről az érintettet írásban, vagy
ha az érintett elektronikus úton nyújtotta be, elektronikus úton értesíti.
9
6.7. Az érintett kérelmére induló hozzáférés során az érintett a 6.4. pontban
részletezett adott érintetti körhöz tartozó adatokról, valamint a személyéhez kapcsolódó
adatvédelmi incidensekről és az azokra tett intézkedésekről tájékozódhat. Az érintett
tájékoztatását az adatkezelő csak a jogszabályban meghatározott esetekben tagadhatja
meg.
Az érintett jogosult arra, hogy a rá vonatkozó, általa az adatkezelő rendelkezésére
bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható
formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik
adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az az adatkezelő, amelynek a
személyes adatokat a rendelkezésére bocsátotta az EU 2016/679-es rendeletének 20. cikk
1–4. pontjainak megfelelően.
6.8. Az érintett kérelmére az adatkezelő haladéktalanul pontosítja vagy helyesbíti,
illetve ha az az adatkezelés céljával összeegyeztethető kiegészíti. Az érintett által
rendelkezésére bocsátott további személyes adatokkal vagy az érintett által a kezelt
személyes adatokhoz fűzött nyilatkozattal kiegészíti a kérelemben foglaltaknak
megfelelően. Ez alól akkor mentesül, ha az adatok helytelenségéről meggyőződött vagy az
érintett nem bocsátotta a rendelkezésére.
6.9. Az érintett kérelmére korlátozás vezethető be abban az esetben, ha az érintett
szerint az adatkezelő az adatok pontossága vagy hiányossága állapítható meg, illetve ha az
adatkezelő a törlés helyett a törvényben megadott esetekben korlátozási lehetőséggel
kíván élni. A korlátozásról és annak feloldásáról értesíteni kell az érintettet.
6.10. Az érintett kérelmére az adatok törlendők, kivéve a jogszabályokban meghatározott
esetekben. Az adatkezelő az adatok törlését automatikusan elvégzi, ha az adatkezelés
célja, a jogalapja, előíró törvény vagy szerződés megszűnt, meghatározott időtartama eltelt
vagy ezt hatóság elrendeli. A kérelemre induló törlés esetén az adatkezelő tájékoztatja az
érintettet, ha az adattörlést elutasítja.
6.11. Az érintett az adatkezelő, illetve az adatfeldolgozó ellen bírósághoz fordulhat, ha
megítélése szerint az adatkezelő, illetve az általa megbízott vagy rendelkezése alapján
eljáró adatfeldolgozó a személyes adatait a személyes adatok kezelésére vonatkozó,
jogszabályban vagy az Európai Unió kötelező jogi aktusában meghatározott előírások
megsértésével kezeli. A pert az érintett – választása szerint – a lakóhelye vagy tartózkodási
helye szerint illetékes törvényszék előtt is megindíthatja.
7. Az adatkezelő kötelezettségei
7.1. Aki az adatkezelő tevékenységi körében kezelt személyes adatokhoz
adatfeldolgozóként, vagy az adatkezelő irányítása alatt más módon jogszerűen hozzáférhet
a hozzáféréssel érintett személyes adatokkal kizárólag az adatkezelő utasításában
meghatározott műveletek végzésére jogosult.
10
7.2. Az adatkezelő és az adatfeldolgozó az általa végzett adatkezelési műveletek
jogszerűségével kapcsolatos eljárások lefolytatására jogosult szervek és személyek
tevékenységét elősegíti, részükre az eljárásuk lefolytatásához szükséges tájékoztatást
megadja.
7.3. Az adatkezelő a kezelésében lévő személyes adatokkal kapcsolatos adatkezeléseiről, az
adatvédelmi incidensekről és az érintett hozzáférési jogával kapcsolatos intézkedésekről
nyilvántartást vezet. Az adatkezelői nyilvántartásban az adatkezelő rögzíti
a) az adatkezelő, valamint az adatvédelmi referens nevét és elérhetőségeit,
b) az adatkezelés célját vagy céljait,
c) személyes adatok továbbítása, vagy tervezett továbbítása esetén az adattovábbítás
címzettjeinek körét,
d) az érintettek, valamint a kezelt adatok körét,
e) profilalkotás alkalmazása esetén annak tényét,
f) nemzetközi adattovábbítás esetén a továbbított adatok körét,
g) az adatkezelési műveletek jogalapjait,
h) a kezelt személyes adatok törlésének időpontját,
i) a műszaki és szervezési biztonsági intézkedések általános leírását,
j) adatvédelmi incidensek bekövetkezésének körülményeit, azok hatásait és a
kezelésükre
tett intézkedéseket,
k) az érintett hozzáférési jogának érvényesítését,
l) korlátozó vagy megtagadó intézkedésének jogi és ténybeli indokait.
7.4. A személyes adatokkal elektronikus úton végzett adatkezelési műveletek
jogszerűségének ellenőrizhetősége céljából az adatkezelő és az adatfeldolgozó adatkezelési
rendszerben (a továbbiakban: elektronikus napló) rögzíti
a) az adatkezelési művelettel érintett személyes adatok körének meghatározását,
b) az adatkezelési művelet célját és indokát,
c) az adatkezelési művelet elvégzésének pontos időpontját,
d) az adatkezelési műveletet végrehajtó személy megjelölését,
e) a személyes adatok továbbítása esetén az adattovábbítás címzettjét.
Az adatkezelői és az adatfeldolgozói nyilvántartásban, valamint az elektronikus naplóban
rögzített adatokat a kezelt adat törlését követő tíz évig kell megőrizni. Az adatkezelői és
adatfeldolgozói nyilvántartást írásban kell vezetni, ideértve az elektronikus formátumot is.
7.5. Amennyiben az Egyesület, mint adatfeldolgozó maga határozza meg az adatkezelés
céljait és eszközeit, akkor az Egyesületet az érintett adatkezelés tekintetében
adatkezelőnek kell tekinteni.
11
8. A Egyesület, mint adatfeldolgozó kötelezettségei
8.1. Az Egyesület pályázati megvalósítóként és képzések lebonyolítójaként a támogatókkal
kötött szerződésekben meghatározottak szerint elláthat adatfeldolgozói szerepet. Az
Egyesület, mint adatfeldolgozó a 2011. évi CXII. az információs önrendelkezési jogról és az
információszabadságról szóló törvény 25/C. §, 25/D. §, illetve az Európai Parlament és a
Tanács 2016/679 28. cikkének megfelelően végzi adatfeldolgozói tevékenységét.
8.2. Az Egyesület adatfeldolgozóként megfelelő garanciákat nyújt az adatkezelés
jogszerűségének és az érintettek jogai védelmének biztosítására alkalmas műszaki és
szervezési intézkedések végrehajtására. Ezen garanciákat az adatkezelés megkezdését
megelőzően az adatfeldolgozó igazolja az adatkezelő számára.
8.3. Az adatfeldolgozó további adatfeldolgozót kizárólag abban az esetben vehet igénybe,
ha azt jogszabály nem zárja ki, továbbá ha az adatkezelő további adatfeldolgozó
igénybevételéhez előzetesen közokiratban vagy teljes bizonyító erejű magánokiratban
eseti vagy általános felhatalmazást adott.
8.4. Ha az adatfeldolgozó a további adatfeldolgozót az adatkezelő általános felhatalmazása
alapján veszi igénybe, az adatfeldolgozó a további adatfeldolgozó igénybevételét
megelőzően tájékoztatja az adatkezelőt a további adatfeldolgozó személyéről, valamint a
további adatfeldolgozó által végzendő tervezett feladatokról. Ha az adatkezelő, ezen
tájékoztatás alapján a további adatfeldolgozó igénybevételével szemben kifogást emel, a
további adatfeldolgozó igénybevételére az adatfeldolgozó kizárólag a kifogásban megjelölt
feltételek teljesítése esetén jogosult.
8.5. Az adatkezelő és az adatfeldolgozó közötti jogviszony részletes tartalmát az 1.3.
pontban felsorolt szabályozó dokumentumokban meghatározott keretek szerint a
vonatkozó jogszabály vagy az adatkezelő és az adatfeldolgozó között írásban létrehozott
szerződés határozza meg. Az adatkezelő által az adatfeldolgozónak adott utasítások
jogszerűségéért az adatkezelő felel.
8.5.1. A vonatkozó jogszabálynak vagy szerződésnek tartalmaznia kell az adatkezelés
tárgyát, időtartamát, jellegét és célját, az érintett személyes adatok típusát, az érintettek
körét, valamint az adatfeldolgozó és az adatkezelő 1.3. pontban felsorolt szabályozó
dokumentumokban nem szabályozott jogait és kötelezettségeit.
8.5.2. A jogszabályban vagy szerződésben rendelkezni kell különösen az adatfeldolgozó
azon kötelezettségéről, hogy
a) tevékenysége során kizárólag az adatkezelő írásbeli utasítása alapján jár el,
b) tevékenysége során biztosítja azt, hogy az érintett személyes adatokhoz való
hozzáférésre feljogosított személyek – ha jogszabályon alapuló megfelelő titoktartási
12
kötelezettség hatálya alatt egyébként nem állnak – az általuk megismert személyes
adatok vonatkozásában titoktartási kötelezettséget vállaljanak,
c) tevékenysége során minden megfelelő eszközzel segíti az adatkezelőt az érintettek
jogai
érvényesítésének elősegítése, ezzel kapcsolatos kötelezettségei teljesítése érdekében,
d) az adatkezelő választása szerint az általa végzett adatkezelési műveletek
befejezését követően – ha törvény másként nem rendelkezik – vagy haladéktalanul törli
a tevékenysége során megismert személyes adatokat, vagy továbbítja azokat az
adatkezelőnek és azt követően törli a meglévő másolatokat. A feldolgozott adatok
kezelési időtartamát tekintve az adatfeldolgozó az adatkezelővel kötött szerződésben
foglaltak szerint jár el,
e) az adatkezelő rendelkezésére bocsát minden olyan információt, amely az
adatfeldolgozó
igénybevételére vonatkozó jogi rendelkezéseknek való megfelelés igazolásához szükséges,
és
f) további adatfeldolgozót csak az 1.3. pontban felsorolt szabályozó
dokumentumokban
meghatározott feltételek teljesítése mellett vesz igénybe.
8.6. A Sportegyesület, mint adatfeldolgozó az általa az egyes adatkezelők megbízásából
vagy rendelkezése szerint végzett adatkezeléseiről adatfeldolgozói nyilvántartást vezet. Az
adatfeldolgozói nyilvántartásban az adatfeldolgozó rögzíti:
a) az adatkezelő, az adatfeldolgozó, a további adatfeldolgozók, valamint az
adatfeldolgozó
adatvédelmi referensének nevét és elérhetőségeit;
b) az adatkezelő megbízásából vagy rendelkezése szerint végzett adatkezelések
típusait;
c) az adatkezelő kifejezett utasítására történő nemzetközi adattovábbítás esetén a
nemzetközi adattovábbítás tényét, valamint a címzett harmadik ország vagy nemzetközi
szervezet megjelölését;
d) a végrehajtott műszaki és szervezési biztonsági intézkedések általános leírását.
Az adatfeldolgozói nyilvántartást írásban vagy elektronikus úton rögzített formában kell
vezetni és azt – kérésére – a Hatóság rendelkezésére kell bocsátani.
8.7. Az Egyesület által, adatfeldolgozóként nyilvántartott és továbbított adatok
adatkezelési céljairól az adatfeldolgozót megbízó adatkezelő ad ki tájékoztatót, amelynek
hozzáférhetőségét az Egyesület biztosítja az érintettek számára.
9. Adatbiztonsági szabályok
9.1. Az adatkezelő és az adatfeldolgozó a kezelt személyes adatok megfelelő szintű
biztonságának biztosítása érdekében az érintettek alapvető jogainak érvényesülését az
13
adatkezelés által fenyegető – így különösen az érintettek különleges adatainak kezelésével
járó – kockázatok mértékéhez igazodó műszaki és szervezési intézkedéseket tesz.
9.2. Az adatkezelő meghatározott intézkedésekkel biztosítja
a) az adatkezeléshez használt eszközök (a továbbiakban: adatkezelő rendszer)
jogosulatlan személyek általi hozzáférésének megtagadását,
b) az adathordozók jogosulatlan olvasásának, másolásának, módosításának, vagy
eltávolításának megakadályozását,
c) az adatkezelő rendszerbe a személyes adatok jogosulatlan bevitelének, valamint az
abban tárolt személyes adatok jogosulatlan megismerésének, módosításának vagy
törlésének megakadályozását,
d) az adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés
útján
történő használatának megakadályozását,
e) azt, hogy az adatkezelő rendszer használatára jogosult személyek kizárólag a
hozzáférési
engedélyben meghatározott személyes adatokhoz férjenek hozzá,
f) azt, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat
adatátviteli berendezés útján mely címzettnek továbbították vagy továbbíthatják, illetve
bocsátották vagy bocsáthatják rendelkezésére,
g) azt, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes
adatokat, mely időpontban, ki vitt be az adatkezelő rendszerbe,
h) a személyes adatoknak azok továbbítása során vagy az adathordozó szállítása
közben történő jogosulatlan megismerésének, másolásának, módosításának vagy
törlésének megakadályozását,
i) azt, hogy üzemzavar esetén az adatkezelő rendszer helyreállítható legyen, valamint
j) azt, hogy az adatkezelő rendszer működőképes legyen, a működése során fellépő
hibákról jelentés készüljön, továbbá a tárolt személyes adatokat a rendszer hibás
működtetésével se lehessen megváltoztatni.
9.3. Számítógépen tárolt adatok
A számítógépen, illetve hálózaton tárolt személyes adatok biztonsága érdekében,
különösen az alábbi intézkedéseket kell foganatosítani:
Tükrözés: A hálózati kiszolgáló gép (a továbbiakban: szerver) a személyes
adatok elvesztésének elkerülésére folyamatos tükrözéssel biztosítható egy tőle
fizikailag különböző adathordozón.
Biztonsági mentés: A személyes adatokat tartalmazó adatbázisok aktív
adataiból rendszeresen, félévente kell külön adathordozóra (külső winchester)
biztonsági mentést készíteni. A biztonsági mentést tartalmazó adathordozót elzárt
szekrényben kell őrizni.
Vagyonvédelem: A biztonsági mentést vagyonvédelmi berendezésekkel
ellátott helyiségben kell elhelyezni.
14
Vírusvédelem: A személyes adatokat kezelő ügyintéző, asztali számítógépén
gondoskodni kell a vírusmentesítésről.
Hozzáférés-védelem: Az adatokhoz csak érvényes, személyre szóló,
azonosítható jogosultsággal – legalább felhasználói névvel és jelszóval – lehet
hozzáférni. Hálózati erőforrásokhoz csak érvényes felhasználói névvel és jelszóval
lehet hozzáférni.
Hálózati védelem: A mindenkor rendelkezésre álló számítástechnikai
eszközök felhasználásával meg kell akadályozni, hogy adatokat tároló, hálózaton
keresztül elérhető szerverekhez illetéktelen személy hozzáférjen.
A különböző nyilvántartásokban elektronikusan kezelt adatállományok védelme érdekében
az adatkezelő és az általa megbízott adatfeldolgozó megfelelő műszaki megoldással
biztosítja, hogy a nyilvántartásban tárolt adatok közvetlenül ne legyenek
összekapcsolhatók és az érintetthez rendelhetők.
9.4. Manuális kezelésű adatok
A manuális kezelésű személyes adatok biztonsága érdekében az alábbi intézkedéseket kell
foganatosítani:
Vagyonvédelem: Az irattári kezelésbe vett iratokat jól zárható, száraz,
vagyonvédelmi berendezéssel ellátott helyiségben kell elhelyezni.
Hozzáférés-védelem: A folyamatos, aktív kezelésben lévő különleges adatokhoz
csak az illetékes ügyintéző férhet hozzá.
9.5. Adatvédelmi incidens
9.5.1. Az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró
adatfeldolgozó által kezelt adatokkal összefüggésben felmerült adatvédelmi incidens
kapcsán rögzíti az adatvédelmi incidens jellegét, az érintettek körét, hozzávetőleges
mennyiségét, az incidensből eredő, valószínűsíthető következményeket, és az adatvédelmi
incidens kezelésére tervezett vagy tett intézkedéseket.
9.5.2. Az adatkezelő az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi
incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Hatóságnak. Az
adatvédelmi incidenst nem kell bejelenteni, ha valószínűsíthető, hogy az nem jár
kockázattal az érintettek jogainak érvényesülésére.
9.5.2.1. Az adatvédelmi incidens esetén az adatkezelő az ésszerűség keretei között a
leghamarabb gondoskodik az érintettek tájékoztatásáról.
9.5.3. Az adatkezelő a bejelentés során ismerteti az adatvédelmi incidens jellegét, az
érintettek körét és hozzávetőleges számát, valamint az incidenssel érintett adatok körét és
hozzávetőleges mennyiségét, tájékoztatást nyújt az adatvédelmi referens nevéről és
elérhetőségi adatairól, ismerteti az adatvédelmi incidensből eredő, valószínűsíthető
következményeket és ismerteti az adatkezelő által az adatvédelmi incidens kezelésére tett
vagy tervezett intézkedéseket.
9.5.4. A bejelentést az adatkezelő a Hatóság által e célra biztosított elektronikus felületen
teljesíti.
9.5.5. Ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely
alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat, az
15
adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja kivéve
azokat az eseteket, amelyeket a törvény nevesít.
9.5.6. Amennyiben az érintettek közvetlen tájékoztatása csak az adatkezelő aránytalan
erőfeszítésével lenne teljesíthető, az adatkezelő az érintettek részére az adatvédelmi
incidenssel összefüggő megfelelő tájékoztatást bárki által hozzáférhető módon közzétett
információk útján biztosítja.
9.5.7. A tájékoztatási kötelezettség keretei között az adatkezelő világosan és közérthetően
ismerteti az adatvédelmi incidens jellegét, valamint az érintett rendelkezésére bocsátja az
adatvédelmi referens nevét és elérhetőségi adatait, ismerteti az adatvédelmi incidensből
eredő, valószínűsíthető következményeket, és az adatkezelő által az adatvédelmi incidens
kezelésére tett vagy tervezett intézkedéseket.
9.5.8. Az adatkezelő nyilvántartja az adatvédelmi incidenseket, feltüntetve az adatvédelmi
incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E
nyilvántartást ellenőrzés céljából a Hatóság rendelkezésére bocsátja.
10. Adatvédelmi felelősség
10.1. Az adatkezelő a személyes adatok kezelésére vonatkozó jogi előírások teljesítésének
és az érintettek jogai érvényesülésének elősegítése érdekében, a 2011. évi CXII. az
információs önrendelkezési jogról és az információszabadságról szóló törvény 25/L. §,
25/M. § és 25/N. §, illetve az Európai Parlament és a Tanács 2016/679 37. cikkének
figyelembevétele és az Egyesület tevékenységi köreinek mérlegelése alapján adatvédelmi
felelőst és adatvédelmi referenst nevez ki. Az adatvédelmi felelős az elnök, aki felel az
adatvédelmi szabályzat betartásáért, az Alapítványnál működő adatkezelés jogszabályi
megfelelőségéről. Az adatvédelmi referens felel az adatbiztonság betartásáért, az
adatkezelési jogok érvényesítéséért. Panasz esetén az Egyesület Elnöke jár el a
panaszkezelési szabályzatnak megfelelően.
10.2. Az adatvédelmi referens jogviszonyának fennállása alatt és annak megszűnését
követően is titokként megőrzi a tevékenységével, annak ellátásával kapcsolatban
tudomására jutott személyes adatot.
10.3. Az adatkezelő minden tőle elvárható, szükséges intézkedést megtesz az adatok
biztonsága érdekében, gondoskodik azok megfelelő szintű védelméről különösen a
jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy
megsemmisítés, valamint a véletlen megsemmisülés és sérülés ellen.
10.4. Az adatkezelő szolgáltatásainak igénybevételéhez elengedhetetlenül szükséges
személyes adatokat az adatkezelő az érintettek hozzájárulása alapján, és kizárólag célhoz
kötötten használja fel.
10.5. Minden olyan esetben, ha a szolgáltatott adatokat az adatkezelő az eredeti
adatfelvétel céljától eltérő célra kívánja felhasználni, erről az érintettet tájékoztatja, és
16
ehhez előzetes, kifejezett hozzájárulását megszerzi, illetőleg lehetőséget biztosít számára,
hogy a felhasználást megtiltsa.
10.6. Az adatkezelő vállalja, hogy a birtokába jutott adatokat az 1.3. pontban felsorolt
szabályozó dokumentumoknak megfelelően kezeli, és azokat harmadik félnek át nem adja.
Kivételt képez ez alól az adatok statisztikailag összesített formában történő felhasználása,
mely az érintett nevét, illetve beazonosítására alkalmas egyéb adatát semmilyen formában
nem tartalmazhatja.
10.7. Adatkezelő adatai és elérhetősége:
Gyenesdiási Horgász és Vízisport Egyesület
Székhely: 8315 Gyenesdiás Kossuth Lajos u. 97
Postai cím: 8315 Gyenesdiás Kossuth Lajos u. 97
E-mail cím: gyenesdiashorgaszegyesulet@gmail.com
Adószám: 18951633-1-20
Adatvédelmi felelős neve: Gombos József
Adatvédelmi referens neve: Fábián Katalin
A két megbízott elérhetőségei:
Posta cím: 8315 Gyenesdiás Kossuth Lajos u. 97
Email: gyenesdiashorgaszegyesulet@gmail.com