ADATVÉDELMI KISOKOS

1. Fogalmak

Az általunk használt fogalmak megegyeznek a GDPR 4. cikkében foglalt fogalmakkal. A legfontosabb fogalmakat azonban köznapi szóhasználattal a közérthetőség céljából elmagyarázzuk

• érintett : az az azonosított vagy azonosítható a természetes személy, akire a személyes adat vonatkozik, ez a legtöbb esetben vagy Te vagy, vagy az a személy, akinek az adatait megosztod velünk
• természetes személy : egy élő ember
• személyes adat : bármely információ, amely egy érintettre vonatkozik
• adatkezelés : személyes adattal végzett bármilyen művelet
• adatkezelő : aki az adatkezelés célját és eszközét meghatározza vagy jogszabály azzá jelöli ki kötelezően, esetünkben a Whitelab Health Stations Kft.
• adatfeldolgozó : aki adatkezelő nevében adatkezelést végez, az adatkezelés „alvállalkozója”
• címzett : akivel a személyes adatot adatkezelő közli

2. Jogalapok

Ahhoz, hogy egy adatkezelő jogszerűen kezelje valaki személyes adatát, köteles egy jogalapot választani. Minden adatkezelésünknél látsz egy jogalapot, a tájékoztatóban ezt azonban részletesen nem fejtjük ki. Ahhoz azonban, hogy tudd, mit jelent a jogalap, itt mutatjuk be ezeket.

6. cikk (1) a), „hozzájárulás”, azaz a Te hozzájárulásod

Abban az esetben, amennyiben olyan folyamatot végezünk, ahol ezt a jogalapot látod, úgy ennek a folyamatnak a részesévé csak akkor válhatsz, ha önkéntesen, szabad akaratodból, megfelelő tájékoztatásod alapján úgy döntesz.

Hátrány nem érhet abból, ha nem adod meg az adataidat: gondold tehát át, szeretnél-e a folyamat részesévé válni. Az engedélyedet (a „hozzájárulásodat”) pedig bármikor visszavonhatod.

6. cikk (1) b), „szerződés, azaz az adatkezelés a Veled kötött szerződés teljesítéséhez, vagy a Veled kötendő szerződés létrehozásához szükséges

Abban az esetben alkalmazzuk ezt a jogalapot, amennyiben olyan szerződéses kapcsolat áll fenn vagy olyan szerződés megkötésének előkészületei zajlanak, amelyben az egyik fél Te vagy, valamint a szerződés teljesítéséhez vagy megkötéséhez mindenképpen szükség van valamilyen személyes adatodra.

Mivel alapvetően egy piaci szolgáltató vagyunk, ezért szolgáltatásainkat az Általános Szerződési Feltételeinkbe foglalt szabályok elfogadása, azaz egy szerződéskötés eredményeként veheted igénybe.

Természetesen dönthetsz úgy, hogy nem kívánod megadni a személyes adataidat, ám ez azt fogja eredményezni, hogy a szerződés vagy létre sem jön közöttünk, vagy teljesíthetetlenné válik (mint ahogy például nem fognak Veled munkaszerződést sem kötni, ha nem mondod meg a nevedet és a születési idődet, helyedet).

6. cikk (1) c), „kötelező adatkezelés”, azaz az adatkezelés a ránk vonatkozó jogi kötelezettség teljesítéséhez szükséges

Ágazati, elsősorban értelemszerűen egészségügyi jogszabály is előírhatja, hogy adott folyamattal vagy céllal összefüggésben kötelesek vagyunk személyes adatot kezelni – az ilyen adatkezeléssel kapcsolatosan nincsen mozgásterünk és döntési lehetőségünk, az adatot kötelesek vagyunk kezelni. (Ezért is hívja ezt a jogalapot az Infotv. „kötelező adatkezelés”-nek.)

Abban az esetben, amennyiben ilyen jogalapon vagyunk kötelesek az adatkezelést végezni, úgy minden esetben egyértelműen jelöljük, hogy melyik jogszabály melyik része írja elő kötelezően az adatkezelést.

Ilyen esetben, ha nem akarod megadni az adataidat, úgy – hasonlóan a „szerződéses” jogalaphoz – a jogszabály által előírt elvárás nem teljesítése okán bizonyos folyamatokból sajnos ki kell zárnunk, hiszen nem tudjuk teljesíteni a jogszabály által előírt kötelezettségünket.

6. cikk (1) f) „jogos érdek”, avagy az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek

Abban az esetben alkalmazzuk ezt a jogalapot, amennyiben olyan jogos érdek érvényesítéséhez szükséges a személyes adat kezelése, amely érdek elérése főszabály szerint nem biztosítható az adat kezelése nélkül. Tekintettel arra, hogy az adatkezelésről szóló döntést mi hozzuk meg, ezért jogosult vagy arra, hogy tiltakozz az adatkezeléssel szemben (ezt lásd részletesen az érintetti jogról szóló részben).

Amennyiben ilyen jogalapon kívánunk adatkezelést végezni, úgy az adatkezelési tájékoztatóban külön kiemeljük és bemutatjuk az érvényesítendő jogos érdeket, valamint felhívjuk a figyelmedet a tiltakozáshoz való jogodra.

6. cikk (1) d), „létfontosságú érdek”, valamint 6. cikk (1) e) „közfeladatok teljesítése”

Ilyen jogalapokon adatkezelést nem végezünk.

3. Különleges személyes adatok

A hétköznapokban szoktuk mondani, hogy vannak „érzékeny” vagy „szenzitív” adataink. Ezek olyasmik, amiket még kevésbé szeretnénk, hogy valaki megismerhessen. A GDPR ilyen kifejezést nem ismer, de egy hosszú felsorolást ad a személyes adatok úgynevezett különleges kategóriáról. Ezek:

• a faji származásra utaló személyes adat,
• az etnikai származásra utaló személyes adat,
• a politikai véleményre utaló személyes adat,
• a vallási meggyőződésre utaló személyes adat,
• a világnézeti meggyőződésre utaló személyes adat,
• a szakszervezeti tagságra utaló személyes adat,
• a genetikai adat,
• a természetes személyek egyedi azonosítását célzó biometrikus adat,
• az egészségügyi adatok,
• a természetes személyek szexuális életére vonatkozó személyes adat,
• a természetes személyek szexuális irányultságára vonatkozó személyes adat.

A GDPR 9. cikke alapján főszabály szerint az ilyen adatok kezelése tilos. Egészségügyi szolgáltatóként azonban értelemszerűen a szolgáltatásunk egyik alapeleme, hogy annak nyújtása során egészségügyi adatokat ismerjünk meg – ezért az egyes folyamatok esetén külön kiemeljük, milyen jogszerű indok nyújt számunkra felhatalmazást az adat kezelésére.

4. Címzettek

Címzettnek minősülhet bárki, akivel az adatkezelő az általa kezelt személyes adatot közli. A címzettekről az adatkezelőnek a GDPR előírása alapján minden esetben tájékoztatnia kell az érintetteket.

Azt nem emeljük ki külön, ugyanis minden adatkezelés esetén igaz, hogy: meghatározott jogosultságok megléte esetén a személyes adatokhoz munkatársaink közül azok férnek hozzá, akiknek a személyes adat kezelésével a konkrét cél esetében feladata van. Őket a GDPR úgy hívja, hogy akik „az adatkezelő közvetlen irányítása alatt a személyes adatok kezelésére felhatalmazást kaptak”.

Minden más címzettről naprakész nyilvántartást vezetünk és az adatkezelés részleteinél feltüntetjük őket.

5. Az érintetti jogok bemutatása

A személyes adatok védelmének egyik nagyon fontos garanciája, hogy az érintett, tehát az a személy, akire nézve információt kezelünk, mindig tisztában legyen az általunk végzett folyamatokkal. Ezt hívja az adatvédelmi jog átláthatóságnak.

Ahogy azt az adatkezelési tájékoztatónkban is írjuk, az egyes folyamatoknál „csak” sorszámokkal hivatkozunk rájuk, hogy melyiket tudod érvényesíteni: hozzáférés [1], helyesbítés [2], törlés [3], korlátozás [4], adathordozhatóság [5], tiltakozás [6]. Itt a kisokosban azonban bemutatjuk az egyes jogok tartalmát is, hogy tényleg megérthesd és bármikor élhess a jogszabályok által a számodra nyújtott lehetőségekkel.

A tájékoztatáshoz való jog, avagy „Hogyan kezelitek a személyes adataimat?”

Külön kérés nélkül is jogosult vagy arra, hogy bármikor megismerhesd egy adatkezelés részleteit. A cél, hogy mindig tudd, mi történik az adataiddal.

Minden esetben kötelesek vagyunk adatkezelési tájékoztatást nyújtani az általunk végzett adatkezelésről. Nem kell kérned az adatkezelési tájékoztatót: ezt minden esetben kötelesek vagyunk biztosítani. Ha olyan folyamatot észlelsz, amelyiknél meg kell adnod az adataidat, de a tájékoztatót nem kaptad meg vagy nem elérhető, mindenképpen jelezd ezt számunkra!

Adatkezelőként különös figyelmet fordítunk arra, hogy mindig átlátható módon, elsősorban írásban közöljük az érintettekkel az adatkezelések részleteit az adatkezelési tájékoztató segítségével.

A hozzáféréshez való jog, avagy „Tud-e rólam valamit és ha igen, mit egy adatkezelő?”

A hozzáféréshez való jog azt jelenti, hogy bármikor megkérdezheted egy adatkezelőtől, hogy kezeli-e az adataidat. Az adatkezelő ilyenkor köteles megvizsgálni, hogy tárol-e bármilyen Rád vonatkozó információt. Amennyiben igen, akkor pedig részletesen el kell magyarázza, hogy milyen adatokat, milyen célból, milyen határidőkkel, milyen forrásból kezel.

A helyesbítéshez való jog, avagy „Nem helyes a rám vonatkozó információ, kérem kijavítani!”

Előfordulhat, hogy nem pontos az az adat, amit Rád nézve kezel egy adatkezelő. Ennek oka lehet egy hibás adatrögzítés vagy akár az is, ha az adatod időközben megváltozott. Ilyenkor kérheted, hogy a már nem helyes adatot cseréljük le a helyesre. Ennek egyetlen feltétele, hogy adatkezelőként meggyőződhessünk az új adat helyességéről, ezért kérjük, ha ilyen jogot kívánsz gyakorolni, támaszd alá az új adat valósságát.

Az egészségügyi adatkezelési szabályok alapján azonban felhívjuk a figyelmedet, hogy az egészségügyi dokumentációban szereplő hibás egészségügyi adatot – az adatfelvételt követően – úgy kell kijavítani vagy törölni, hogy az eredetileg felvett adat megállapítható legyen!

A törléshez való jog, avagy „Szeretném, ha nem kezelné tovább a személyes adatot az adatkezelő!”

Megillet a jog, hogy az adataidat „elfelejtsük” adatkezelőként, azaz az adat további kezelését megszüntessük. Fontos azonban, hogy a törlési igény nem jelent automatikus törlést, ugyanis a jogszabály az alábbi előfeltételek egyikének meglétéhez köti az adatkezelői törlést:

• a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtöttük vagy más módon kezeltük,
• a hozzájárulásod alapján kezeltük az adataidat és úgy döntesz, ezt a hozzájárulást visszavonod,
• eredményesen tiltakoztál az adat kezelése ellen (lásd a tiltakozáshoz való jogot),
• a személyes adatodat jogellenesen kezeltük,
• a személyes adatodat a ránk alkalmazandó uniós vagy magyar tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell,
• úgy döntesz, hogy nem kívánod tovább, hogy az adatkezelő valamely, az információs társadalommal összefüggő szolgáltatása nyújtása során kezelje a személyes adatodat.

Kérelmedben ezért kérjük, jelöld meg, ezen indokok melyike okán kéred az adatkezelés megszüntetését! Ez alól kivétel a tiltakozás: amennyiben eredményesen tiltakoztál az adatkezeléssel szemben, a törlést automatikusan elvégezzük.

Vannak azonban olyan helyzetek, amikor az adatkezelő éppen a jog előírása okán nem törölhet adatokat: az egészségügyi szolgáltatással kapcsolatosan számos megőrzési kötelezettség terhel minket az egészségügyi adatkezelési jogszabályokból fakadóan – erre azonban minden esetben külön felhívjuk a figyelmedet.

Az adatkezelés korlátozásához való jog, avagy „Kérem, tegyék félre az adataimat, mert azokra szükségem van!”

Kérheted tőlünk, hogy a személyes adataid kezelését a tárolásra korlátozzuk, avagy addig, amíg a kérésednek megfelelő lépések nem történnek meg, addig nem végezhetünk az adaton semmilyen további műveletet.

Négy olyan eset van, amikor ilyet kérhetsz:

• vitatod a személyes adatok pontosságát, ez esetben az adatok pontosságának ellenőrzése időtartamára korlátozzuk az adatkezelést,
• álláspontod szerint az adatkezelés jogellenes, de kifejezetten ellenzed, hogy töröljük az adatot, ehelyett azt kéred, hogy tároljuk azt,
• bár az adatkezelőnek már nincs szüksége a személyes adatodra az adatkezelés céljából, ám Te kifejezetten igényled azokat, hogy valamilyen jogi igényt terjeszthess elő, érvényesíthess vagy védhess,
• ha tiltakoztál az adatkezelés ellen és addig, ameddig megvizsgáljuk a tiltakozásodat (lásd a tiltakozáshoz való jogot).

Kérjük, jelöld meg, milyen okból kéred a korlátozást, hogy kérelmed alapján annak indokát haladéktalanul megvizsgálhassuk.

A tiltakozáshoz való jog, avagy „Nem szeretnék az adatkezelés érintettje lenni!”

Amennyiben egy adatkezelést a saját vagy harmadik fél jogos érdeke alapján végezzük [a jogalapja a GDPR 6. cikk (1) f) pontja], úgy jogosult vagy arra, hogy tiltakozz az ellen, hogy az adatkezelés érintettje legyél.

Minden ilyen adatkezelés megkezdése előtt érdekmérlegelési tesztet végzünk el és ilyen jogalapon csak akkor végzünk adatkezelést, ha megbizonyosodtunk róla, hogy a saját vagy a harmadik fél jogos érdeke elsőbbséget élvez az érintettek érdekeivel szemben. Ettől függetlenül azonban Te bármikor tiltakozhatsz saját helyzeteddel kapcsolatos okból az adatkezelés ellen: ilyenkor megvizsgáljuk, hogy kifejezetten a közöttünk fennálló kapcsolatban hogyan értelmezhetőek a jogos érdekek és okok.

A tiltakozás megvizsgálása során személyes adataid kezelését korlátozzuk (lásd a korlátozáshoz fűződő jogot), majd döntést hozunk. Amennyiben bizonyítani tudjuk, hogy az adatkezelést olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érdekeiddel, jogaiddal és szabadságaiddal szemben, az adatkezelést folytatjuk. Amennyiben arra jutunk, hogy a Te érdekeid élveznek elsőbbséget, az adataidat töröljük (lásd a törléshez való jogot).

Abban az esetben, amennyiben az adatkezelés célja közvetlen üzletszerzés és tiltakozol az adatkezeléssel szemben, a vizsgálatot nem folytatjuk le, hanem az adataidat haladéktalanul töröljük.

A tiltakozáshoz fűződő érintetti jog nem csak a GDPR 6. cikk (1) f), hanem e) pontján alapuló adatkezelések esetén is megilletik az érintetteket, ilyen adatkezelési jogalapon azonban adatot mi nem kezelünk (lásd a jogalapokra vonatkozó részt!).

Az adathordozhatósághoz való jog

Abban az esetben, ha az adatkezelés jogalapja a hozzájárulásod [GDPR 6. cikk (1) a)] vagy a közöttünk fennálló szerződés [GDPR 6. cikk (1) b)] és az adatkezelés automatizált módon történik, úgy jogosult vagy arra, hogy kérelmedre a Rád vonatkozó, általad a rendelkezésünkre bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapd, valamint arra is, hogy kérd személyes adataidnak – ha ez technikailag megvalósítható – egy másik adatkezelőnek történő közvetlen továbbítását.

Az érintetti jogok érvényesítése esetén irányadó határidők, a folyamat bemutatása

Érintetti jogi igényedet elsősorban írásban (elektronikus vagy postai úton) javasoljuk benyújtani. Az igény beérkezését követően rövidesen megkezdjük az igényedben foglaltak feldolgozását és a lehető leghamarabb, de legkésőbb egy hónapon belül tájékoztatni fogunk kérelmeddel összefüggésben meghozott intézkedéseinkről. A tájékoztatást – amennyiben igényedben nem jelölöd meg kifejezetten ettől eltérő igényedet – azonos módon és csatornán nyújtjuk, mint ahogy igényedet benyújtottad. (Tehát, ha e-mailt írtál, e-mailben fogunk válaszolni.)

Igényed eredményes ügyintézéséért mindent megteszünk: igényt csak abban az esetben utasítunk el, amennyiben az érintetti jogot érvényesíteni kívánó személy nem azonosítható. Ezért kérjük, hogy érintetti igényedben lehetőségeidhez mérten pontosan azonosítsd magadat. Amennyiben szükséges az ügyintézéshez, előfordulhat, hogy pontosítást fogunk kérni – de főszabály szerint igyekszünk minél hatékonyabban eljárni.

A maximum egy hónapos határidőt abban az esetben meghosszabbíthatjuk, ha a benyújtott kérelmed összetett vagy az aktuális érintetti kérelmek nagy száma miatt nem tudjuk a kérelmet ezen határidőn belül teljesíteni. Ebben az esetben az egy hónapos határidőn belül tájékoztatni fogunk a meghosszabbítás tényéről.

Az érintetti jogi igény ügyintézése ingyenes. Abban az esetben azonban, ha a kérelem egyértelműen megalapozatlan vagy túlzó (például ismétlődő jellege miatt), észszerű összegű díjat számíthatunk fel vagy akár meg is tagadhatjuk az intézkedést.

Abban az esetben, ha nem intézkedünk kérelmedre az egy hónapos határidőn belül vagy a megtett intézkedésünket nem fogadod el, a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (www.naih.hu) vagy bírósághoz (www.birosag.hu) fordulhatsz. A Nemzeti Adatvédelmi és Információszabadság Hatóság illetékessége az egész ország területére kiterjed, az eljáró bíróság a lakó- vagy tartózkodási helyed szerint illetékes törvényszék.

6. Az elhunyt személyek adatainak kezelésére vonatkozó speciális szabályok

A GDPR-t a (27) preambulumbekezdése alapján nem kell alkalmazni az elhunyt személyekkel kapcsolatos személyes adatokra. A tagállamok azonban megkapták a jogalkotási lehetőséget, hogy szabályozzák az elhunyt személyek adatainak kezelését – Magyarország élt is ezzel a lehetőséggel általánosságban és kifejezetten az egészségügyi jogi adatkezelési szabályok megalkotásával.

Az érintett halálát követő öt éven belül a GDPR 15–18. és 21. cikkében meghatározott, az elhaltat életében megillető jogokat az érintett által arra ügyintézési rendelkezéssel, illetve közokiratban vagy teljes bizonyító erejű magánokiratban foglalt, az adatkezelőnél tett nyilatkozattal – ha az érintett egy adatkezelőnél több nyilatkozatot tett, a későbbi időpontban tett nyilatkozattal – meghatalmazott személy jogosult érvényesíteni.

Ilyen nyilatkozatot tehát még az életében kell tegyen az érintett számunkra.

Ha az érintett nem tett életében ilyen jognyilatkozatot, a Polgári Törvénykönyv szerinti közeli hozzátartozója annak hiányában is jogosult a GDPR 16-18. és 21. cikkében, valamint az elhaltat életében megillető jogokat érvényesíteni az érintett halálát követő öt éven belül. Az érintett jogainak érvényesítésére az a közeli hozzátartozó jogosult, aki ezen jogosultságát elsőként gyakorolja.

Fontos különbség, hogy ha az érintett nem tesz nyilatkozatot, úgy a közeli hozzátartozó a GDPR 15. cikke szerinti jogot nem gyakorolhatja, azaz felvilágosítást nem kérhet az adatkezelés tényéről és tartalmáról, azaz nem élhet a hozzáféréshez való joggal!

A jogot érvényesíteni kívánó személy az elhunyt halálának tényét és idejét halotti anyakönyvi kivonattal vagy bírósági határozattal, valamint saját személyazonosságát, valamint nem meghatalmazottként történő eljárás esetén közeli hozzátartozói minőségét közokirattal köteles igazolni.

Egészségügyi adatkezelési jogilag az elhunyt személy elhalálozásának körülményeire és a halál okára vonatkozó, valamint az elhunyt személyre vonatkozó egészségügyi dokumentációban foglalt személyes adat kezelésére az egészségügyi adat és az egészségügyi dokumentációban foglalt személyes adat kezelésére vonatkozó kötelező európai uniós jogi aktusban vagy jogszabályban foglalt szabályokat alkalmazzuk.

7. Az adatvédelmi tisztviselő szerepe és feladata

Mivel szolgáltatásaink lényege az egészségügyi személyes adatok kezelése, ezért a GDPR előírása alapján az adatkezelési folyamatainak jogszabályi előírásoknak való megtervezése és végzése céljából adatvédelmi tisztviselőt neveztünk ki.

Az adatvédelmi tisztviselőnk minden olyan feladatot ellát, amelyet a GDPR hatáskörébe sorol: az érintettek irányába azonban az a legfontosabb feladata, hogy „őrködjön” az adatkezeléseink felett.

Az adatvédelmi tisztviselőnk elérhetősége [email protected] .

Abban az esetben, ha kérdésed van adatkezeléseinkkel kapcsolatosan vagy jogsértést tapasztalsz, fordulj hozzá bizalommal!

Korábbi adatvédelmi kisokos

A 2025. január 20-tól hatályos korábbi adatvédelmi kisokos itt érhető el .