Adatvédelmi és adatkezelési szabályzat

1. A szabályzat célja

A szabályzat célja, hogy az adatkezelő szervezetek minden személyes adatot a GDPR, az Infotv. és a vonatkozó magyar jogszabályok szerint, elszámoltatható módon kezeljenek.

A szabályzat a vezetők, munkavállalók, megbízottak, sportszakemberek, önkéntesek, honlapszerkesztők és minden olyan közreműködő számára kötelező, aki feladata során személyes adathoz hozzáfér. A szabályzatot együtt kell alkalmazni az egyes adatkezelésekhez készített tájékoztatókkal, hozzájáruló nyilatkozatokkal, szerződésekkel, érdekmérlegelésekkel és adatfeldolgozói megállapodásokkal.

2. Szervezeti és tárgyi hatály

A szabályzat kiterjed minden papíralapú és elektronikus adatkezelésre, így különösen a sportolói, tagsági, munkavállalói, partneri, pénzügyi, kapcsolattartási, rendezvény-, kép- és videó-, valamint honlaphoz kapcsolódó adatokra.

3. Alkalmazandó szabályok

• az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR);
• a 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról;
• a 2004. évi I. törvény a sportról;
• a 2013. évi V. törvény a Polgári Törvénykönyvről, különösen a képmás és hangfelvétel védelmére vonatkozó szabályok;
• a 2012. évi I. törvény a munka törvénykönyvéről;
• a 2000. évi C. törvény a számvitelről;
• az adott adatkezelésre vonatkozó további ágazati, sportági és szövetségi előírások.

4. Kötelező adatkezelési alapelvek

5. Felelősségi körök

• A szervezet vezetője jóváhagyja az adatvédelmi döntéseket, biztosítja az erőforrásokat, kijelöli a felelős közreműködőket és gondoskodik a szabályzat betartásáról.
• Az adatkezelési folyamat gazdája meghatározza a célt, a szükséges adatokat, a jogalapot, a hozzáférést és a megőrzési időt; változás előtt adatvédelmi felülvizsgálatot kezdeményez.
• A honlap és informatikai rendszerek kezelője a jóváhagyott jogosultságokat alkalmazza, frissít, ment, naplóz, és jelzi a biztonsági eseményeket.
• Minden hozzáférő személy titoktartásra köteles, csak feladatához szükséges adatot használhat, és az adatot engedély nélkül nem másolhatja, továbbíthatja vagy viheti el.
• Az adatvédelmi kapcsolattartó fogadja az érintetti kérelmeket és incidensjelzéseket: info@vacinkse.hu.

6. Fő adatkezelési területek

7. Kiskorúak és különleges adatok

• Kiskorú sportoló adatainál az életkorhoz igazodó, világos tájékoztatást kell adni, és ahol szükséges, a törvényes képviselő személyét és nyilatkozatát ellenőrizni kell.
• Kiskorútól közvetlenül csak a sporttevékenységhez feltétlenül szükséges adat kérhető; a kapcsolattartásba a törvényes képviselőt a korának és a jogviszony jellegének megfelelően be kell vonni.
• Egészségügyi adat, sérülés, rehabilitációs információ vagy más különleges adat csak dokumentált célból, megfelelő jogalappal és a legszűkebb hozzáférési körrel kezelhető.
• Nyilvános felületen egészségügyi, családi, iskolai vagy más érzékeny adat nem tehető közzé. Fotó és videó használatánál tiszteletben kell tartani a képmáshoz fűződő jogot.

8. Új vagy megváltozó adatkezelés engedélyezése

1. Meg kell határozni a pontos célt és az érintettek körét.
2. Rögzíteni kell az adatkategóriákat, jogalapot és megőrzést.
3. El kell készíteni vagy frissíteni kell a tájékoztatót és szükséges nyilatkozatokat.
4. Fel kell mérni az adatfeldolgozókat és az adattovábbításokat.
5. Meg kell határozni a hozzáférési és biztonsági intézkedéseket.
6. Magas kockázat esetén adatvédelmi hatásvizsgálatot kell végezni még a kezdés előtt.

Jelentős új adatkezelés – különösen nagyszámú kiskorú vagy egészségügyi adat, rendszeres megfigyelés vagy új technológia alkalmazása – vezetői jóváhagyás nélkül nem indítható.

9. Adatbiztonsági szabályok

• minden felhasználó egyedi azonosítót használ; a jelszó nem adható át;
• a hozzáférést munkakör és feladat alapján, a legkisebb szükséges jogosultság elve szerint kell megadni és rendszeresen felülvizsgálni;
• a papíralapú iratot zárható helyen, az elektronikus adatot megfelelő hozzáférés-védelemmel kell tárolni;
• személyes adatot nyilvános vagy magánfelhőbe, saját eszközre, üzenetküldőbe csak jóváhagyott módon lehet továbbítani;
• címzettek tömeges e-mailjénél rejtett másolat vagy erre szolgáló rendszer használandó;
• bizalmas irat és adathordozó leselejtezése csak vissza nem állítható törléssel vagy iratmegsemmisítéssel történhet;
• a rendszereket frissíteni, menteni és indokolt mértékben naplózni kell; a mentések hozzáférését is korlátozni kell.

10. Adatfeldolgozók és adattovábbítás

Adatfeldolgozó csak előzetes ellenőrzés és írásbeli, a GDPR 28. cikkének megfelelő megállapodás alapján vehető igénybe. A szerződésnek ki kell térnie a célra, időtartamra, adatkategóriákra, titoktartásra, biztonságra, alvállalkozókra, incidensjelzésre, törlésre és ellenőrizhetőségre.

Más szervezetnek személyes adat csak dokumentált célból, megfelelő jogalappal és a szükséges adatkörre korlátozva adható át. Az Európai Gazdasági Térségen kívüli továbbítás előtt ellenőrizni és dokumentálni kell a GDPR V. fejezete szerinti garanciát.

11. Megőrzés, archiválás és törlés

A megőrzési idők részletes, rendszerenkénti nyilvántartását külön adatkezelési leltárban kell vezetni. Jogvita, hatósági eljárás vagy incidens esetén az érintett adat törlése a szükséges időre felfüggeszthető.

12. Érintetti kérelmek kezelése

1. A kérelmet azonnal továbbítani kell az adatvédelmi kapcsolattartónak.
2. A kérelmező személyazonosságát arányos módon ellenőrizni kell.
3. Az érintett rendszereket és iratokat teljeskörűen fel kell kutatni.
4. Meg kell vizsgálni a hozzáférés, helyesbítés, törlés, korlátozás, tiltakozás vagy hordozhatóság feltételeit.
5. A választ közérthetően, biztonságos csatornán kell megadni.
6. A kérelmet, az intézkedést és a határidőt nyilvántartásban dokumentálni kell.

13. Adatvédelmi incidens kezelése

Adatvédelmi incidens lehet többek között az adat elvesztése, téves címzettnek küldése, jogosulatlan hozzáférés, fertőzés, ellopott eszköz, nyilvánosságra kerülés vagy a szükséges adat tartós elérhetetlensége.

1. Az eseményt észlelő személy haladéktalanul jelzi az info@vacinkse.hu címen és a szervezet vezetőjének.
2. Meg kell akadályozni a további károkat, de a bizonyítékokat meg kell őrizni.
3. Rögzíteni kell az időpontot, adatkört, érintetteket, következményeket és megtett intézkedéseket.
4. Értékelni kell az érintettek jogaira jelentett kockázatot.
5. Bejelentésköteles esetben a NAIH értesítését indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül meg kell tenni.
6. Magas kockázat esetén az érintetteket is közérthetően tájékoztatni kell.

Minden incidenst – a be nem jelentett eseményt is – incidensnyilvántartásban kell dokumentálni.

14. Oktatás, ellenőrzés és felülvizsgálat

• Az adatkezelésben részt vevők a hozzáférés megadása előtt, majd rendszeresen adatvédelmi és információbiztonsági tájékoztatást kapnak.
• A jogosultságokat személyi vagy feladatváltozáskor haladéktalanul, egyébként rendszeresen felül kell vizsgálni.
• A tájékoztatókat, adatfeldolgozói szerződéseket, megőrzési időket és adatkezelési nyilvántartásokat legalább évente, valamint jelentős változáskor ellenőrizni kell.
• A szabályzat megsértése munkajogi, polgári jogi, szerződéses vagy más felelősséget vonhat maga után.

15. Záró rendelkezések

A szabályzat 2026. augusztus 2-án lép hatályba. A hatályos változatot az érintett munkatársak és közreműködők számára hozzáférhetővé kell tenni. A szabályzatot jogszabályváltozás, új adatkezelés, új szolgáltató, adatvédelmi incidens vagy szervezeti változás esetén soron kívül felül kell vizsgálni.