THE APPLICATION OF THE DATA PROTECTION AND DATA MANAGEMENT POLICY

 

Name of the organisation: META-VULK LIMITED LIABILITY COMPANY
The headquarters of the organisation: 1222 Budapest, Zentai u. 43.
The person responsible for the content of the Code: András Csikós Managing Director

Bors Tickle Managing Director
Date of entry into force of the Rules: 25 May 2018.

 

This policy sets out rules on the protection of natural persons with regard to the processing of personal data and on the free flow of personal data. It applies to specific data processing activities and to the issuing of instructions and notices governing data processing.

The obligation to employ (designate) a Data Protection Officer extends to all public authorities or other bodies with a public task (regardless of the data they process), as well as to other organisations whose main activity is the systematic, large-scale monitoring of individuals or which process large numbers of special categories of personal data.

The organisation does not employ a data protection officer.

The Privacy Notice and the related Privacy Statement are an integral part of this Policy.

 

THE SCOPE OF THE CODE

This policy is valid until revoked and applies to the officers and employees of the organisation.

Budapest, 25 May 2018.

 

1) Purpose of the Code

The purpose of this policy is to harmonise the requirements of the other internal rules of the organisation with regard to data management activities in order to protect the fundamental rights and freedoms of natural persons and to ensure the adequate processing of personal data.

The organisation aims to comply fully with the legal requirements for the processing of personal data, in particular Regulation (EU) 2016/679 of the European Parliament and of the Council.

Another important purpose of issuing the Code is to ensure that by knowing and complying with it, the employees of the organisation are able to handle the data of natural persons lawfully.

2) Key concepts, definitions

  • a GDPR (General Data Protection Regulation) the new EU Data Protection Regulation
  • data controller: the natural or legal person, public authority, agency or any other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of the processing are determined by Union or Member State law, the controller or the specific criteria for the controller's designation may also be determined by Union or Member State law;
  • data management: any operation or set of operations which is performed upon personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure, transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
  • data processor: a natural or legal person, public authority, agency or any other body which processes personal data on behalf of the controller;
  • personal data: any information relating to an identified or identifiable natural person (data subject); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;
  • third party: a natural or legal person, public authority, agency or any other body other than the data subject, the controller, the processor or the persons who, under the direct authority of the controller or processor, are authorised to process personal data;
  • consent of the data subject: a freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she signifies, by a statement or by an act expressing his or her unambiguous consent, that he or she gives his or her consent to the processing of personal data concerning him or her;
  • restriction of processing: the identification of the personal data stored in order to limit their future processing;
  • pseudonymisation: the processing of personal data in such a way that it is no longer possible to identify the natural person to whom the personal data relates without further information, provided that such further information is kept separately and technical and organisational measures are taken to ensure that no link is established between the personal data and an identified or identifiable natural person;
  • registration system: a set of personal data, disaggregated in any way, whether centralised, decentralised or by functional or geographical criteria, which is accessible on the basis of specific criteria;
  • data breaches: a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed.

3) Principles of data management

The processing of personal data must be lawful, fair and transparent for the data subject.

Personal data may only be collected for specified, explicit and legitimate purposes.

The purposes for which personal data are processed must be adequate, relevant and limited to what is necessary.

Personal data must be accurate and up to date. Inaccurate personal data must be deleted without delay.

Personal data must be stored in a form which permits identification of data subjects for no longer than is necessary. Personal data may be stored for longer periods only if the storage is for archiving purposes in the public interest, scientific and historical research purposes or statistical purposes.

Personal data must be processed in such a way as to ensure adequate security of personal data, including protection against unauthorised or unlawful processing, accidental loss, destruction or damage, by using appropriate technical or organisational measures.

The principles of data protection apply to all information relating to an identified or identifiable natural person.

An employee of the organisation who is responsible for data processing is liable to disciplinary action, compensation, civil and criminal liability for the lawful processing of personal data. If an employee becomes aware that personal data he or she is processing is inaccurate, incomplete or out of date, he or she must correct it or have it corrected by the person responsible for recording it.

4) Processing of personal data

Because natural persons can be associated with online identifiers, such as IP addresses and cookie identifiers, provided by the devices, applications, tools and protocols they use, this data, combined with other information, can and may be used to profile and identify natural persons.

Processing may take place only if the data subject gives his or her freely given, specific, informed and unambiguous consent to the processing of the data by means of a clear affirmative action, such as a written, including electronic, or oral statement.

Consent to the processing of personal data is also deemed to be given if the data subject ticks a box to this effect when viewing the website. Silence, ticking a box or inaction does not constitute consent.

Consent is also deemed to be given when a user, in the course of using electronic services, makes the relevant technical settings or makes a statement or takes an action which, in the relevant context, clearly indicates the consent of the person concerned to the processing of his or her personal data.

Personal data concerning health include data relating to the health of a data subject which contains information about his or her past, present or future physical or mental health. This includes:

  • registration for health services;
  • a number, symbol or data assigned to a natural person for the purpose of identifying that person individually for health purposes;
  • information obtained from the testing or examination of a body part or body constituent, including genetic data and biological samples;
  • information about the person's illness, disability, disease risk, medical history, clinical treatment or physiological or biomedical condition, regardless of its source, which may be, for example, a doctor or other health professional, hospital, medical device or diagnostic test.

 

Genetic data shall be defined as personal data relating to the inherited or acquired genetic characteristics of a natural person and resulting from the analysis of a biological sample taken from that person, in particular chromosomal analysis or analysis of deoxyribonucleic acid (DNA) or ribonucleic acid (RNA) or any other element allowing the extraction of information equivalent to that which may be obtained from them.

Children's personal data deserve special protection, as they may be less aware of the risks, consequences, safeguards and rights associated with the processing of personal data. This special protection should apply in particular to the use of children's personal data for marketing purposes or for the purpose of creating personal or user profiles.

Personal data must be processed in a manner that ensures an adequate level of security and confidentiality, inter alia, in order to prevent unauthorised access to or use of personal data and the means used to process personal data.

All reasonable steps must be taken to correct or delete inaccurate personal data.

5) Lawfulness of processing

The processing of personal data is lawful if one of the following conditions is met:

  • the data subject has given his or her consent to the processing of his or her personal data for one or more specific purposes;
  • processing is necessary for the performance of a contract to which the data subject is a party or for the purposes of taking steps at the request of the data subject prior to entering into the contract;
  • az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
  • az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
  • az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
  • az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

A fentiek értelmében az adatkezelés jogszerűnek minősül, ha arra valamely szerződés vagy szerződéskötési szándék keretében van szükség.

Ha az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie.

Az adatkezelést jogszerűnek kell tekinteni akkor, amikor az az érintett életének vagy más fent említett természetes személy érdekeinek védelmében történik. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre elvben csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető.

A személyes adatkezelés néhány típusa szolgálhat egyszerre fontos közérdeket és az érintett létfontosságú érdekeit is, például olyan esetben, amikor az adatkezelésre humanitárius okokból, ideértve, ha arra a járványok és terjedéseik nyomon követéséhez, vagy humanitárius vészhelyzetben, különösen természeti vagy ember által okozott katasztrófák esetében van szükség.

Az adatkezelő – ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik – vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az adatkezelő között, például olyan esetekben, amikor az érintett az adatkezelő ügyfele vagy annak alkalmazásában áll.

Személyes adatoknak a csalások megelőzése céljából feltétlenül szükséges kezelése szintén az érintett adatkezelő jogos érdekének minősül. Személyes adatok közvetlen üzletszerzési célú kezelése szintén jogos érdeken alapulónak tekinthető.

A jogos érdek fennállásának megállapításához mindenképpen körültekintően meg kell vizsgálni többek között azt, hogy az érintett a személyes adatok gyűjtésének időpontjában és azzal összefüggésben számíthat-e ésszerűen arra, hogy adatkezelésre az adott célból kerülhet sor. Az érintett érdekei és alapvető jogai elsőbbséget élvezhetnek az adatkezelő érdekével szemben, ha a személyes adatokat olyan körülmények között kezelik, amelyek közepette az érintettek nem számítanak további adatkezelésre.

Az érintett adatkezelő jogos érdekének minősül a közhatalmi szervek, számítástechnikai vészhelyzetekre reagáló egység, hálózatbiztonsági incidenskezelő egységek, elektronikus hírközlési hálózatok üzemeltetői és szolgáltatások nyújtói, valamint biztonságtechnológiai szolgáltatók által végrehajtott olyan mértékű személyes adatkezelés, amely a hálózati és informatikai biztonság garantálásához feltétlenül szükséges és arányos.

A személyes adatoknak a gyűjtésük eredeti céljától eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető az adatkezelés eredeti céljaival, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését.

A személyes adatok hatóságok általi, hivatalosan elismert vallási szervezetek alkotmányjogban vagy nemzetközi közjogban megállapított céljainak elérése érdekében történő kezelése közérdeken alapulónak minősül.

6) Az érintett személy hozzájárulása, feltételek

  • Amennyiben az adatkezelés hozzájáruláson alapul, az adatkezelőnek képesnek kell lennie annak igazolására, hogy az érintett személyes adatainak kezeléséhez hozzájárult.
  • Ha az érintett a hozzájárulását olyan írásbeli nyilatkozat keretében adja meg, amely más ügyekre is vonatkozik, a hozzájárulás iránti kérelmet ezektől a más ügyektől egyértelműen megkülönböztethető módon kell közölni.
  • Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.
  • Annak megállapítása során, hogy a hozzájárulás önkéntes-e, a lehető legnagyobb mértékben figyelembe kell venni azt a tényt, egyebek mellett, hogy a szerződés teljesítésének – beleértve a szolgáltatások nyújtását is – feltételéül szabták-e az olyan személyes adatok kezeléséhez való hozzájárulást, amelyek nem szükségesek a szerződés teljesítéséhez.
  • Közvetlenül gyermekeknek kínált, információs társadalommal összefüggő szolgáltatások vonatkozásában végzett személyes adatok kezelése akkor jogszerű, ha a gyermek a 16. életévét betöltötte. A 16. életévét be nem töltött gyermek esetén, a gyermekek személyes adatainak kezelése csak akkor és olyan mértékben jogszerű, ha a hozzájárulást a gyermek feletti szülői felügyeletet gyakorló adta meg, illetve engedélyezte.

A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos, kivéve, ha az érintett kifejezett hozzájárulását adta az említett személyes adatok egy vagy több konkrét célból történő kezeléséhez.

A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre, illetve a kapcsolódó biztonsági intézkedésekre vonatkozó személyes adatok kezelésére kizárólag abban az esetben kerülhet sor, ha az közhatalmi szerv adatkezelésében történik.

7) Azonosítást nem igénylő adatkezelés

Ha azok a célok, amelyekből az adatkezelő a személyes adatokat kezeli, nem vagy már nem teszik szükségessé az érintettnek az adatkezelő általi azonosítását, az adatkezelő nem köteles kiegészítő információkat megőrizni.

Ha az adatkezelő bizonyítani tudja, hogy nincs abban a helyzetben, hogy azonosítsa az érintettet, erről lehetőség szerint őt megfelelő módon tájékoztatja.

8) Az érintett személy tájékoztatása, jogai

A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól.

Ha a személyes adatokat az érintettől gyűjtik, az érintettet arról is tájékoztatni kell, hogy köteles-e a személyes adatokat közölni, valamint, hogy az adatszolgáltatás elmaradása milyen következményekkel jár. Ezeket az információkat szabványosított ikonokkal is ki lehet egészíteni annak érdekében, hogy az érintett a tervezett adatkezelésről jól látható, könnyen érthető és jól olvasható formában általános tájékoztatást kapjon.

Az érintettre vonatkozó személyes adatok kezelésével összefüggő tájékoztatást az adatgyűjtés időpontjában kell az érintett részére megadni, illetve, ha az adatokat nem az érintettől, hanem más forrásból gyűjtötték, az ügy körülményeit figyelembe véve, ésszerű határidőn belül kell rendelkezésre bocsátani.

Az érintett jogosult, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és ésszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá, ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik,

Az érintett jogosult különösen arra, hogy személyes adatait töröljék és a továbbiakban ne kezeljék, ha a személyes adatok gyűjtésére vagy más módon való kezelésére az adatkezelés eredeti céljaival összefüggésben már nincs szükség, vagy ha az érintettek visszavonták az adatok kezeléséhez adott hozzájárulásukat.

Ha a személyes adatok kezelése közvetlen üzletszerzés érdekében történik, az érintett számára biztosítani kell a jogot arra, hogy bármikor díjmentesen tiltakozzon a rá vonatkozó személyes adatok e célból történő kezelése ellen.

9) A személyes adatok felülvizsgálata

Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg.

A szervezet vezetője által megállapított rendszeres felülvizsgálati határidő: 1 év.

10) Az adatkezelő feladatai

Az adatkezelő a jogszerű adatkezelés érdekében megfelelő belső adatvédelmi szabályokat alkalmaz. Ez a szabályozás kiterjed az adatkezelő hatáskörére és felelősségére.

Az adatkezelő kötelessége, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint, hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek a hatályos jogszabályoknak megfelelnek.

Ezt a szabályozást az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni.

Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre. E szabályzat alapján az egyéb belső szabályzatokat felülvizsgálja és szükség esetén naprakésszé teszi.

Az adatkezelő vagy az adatfeldolgozó megfelelő nyilvántartást vezet a hatásköre alapján végzett adatkezelési tevékenységekről. Minden adatkezelő és adatfeldolgozó köteles a felügyeleti hatósággal együttműködni és ezeket a nyilvántartásokat kérésre hozzáférhetővé tenni az érintett adatkezelési műveletek ellenőrzése érdekében.

11) Rights in relation to data processing

The right to request information

Bármely személy a megadott elérhetőségeken keresztül tájékoztatást kérhet arról, hogy a szervezet milyen adatait, milyen jogalapon, milyen adatkezelési cél miatt, milyen forrásból, mennyi ideig kezeli. A kérelmére haladéktalanul, de legfeljebb 30 napon belül, a megadott elérhetőségre tájékoztatást kell küldeni.

The right to rectification

Bármely személy a megadott elérhetőségeken keresztül kérheti bármely adatának módosítását. Erről kérelmére haladéktalanul, de legfeljebb 30 napon belül intézkedni kell és a megadott elérhetőségre tájékoztatást kell küldeni.

The right to erasure

Bármely személy a megadott elérhetőségeken keresztül kérheti adatának törlését. Kérelmére ezt haladéktalanul, de legfeljebb 30 napon belül meg kell tenni és a megadott elérhetőségre tájékoztatást kell küldeni.

A zároláshoz, korlátozáshoz való jog

Bármely személy a megadott elérhetőségeken keresztül kérheti adatának zárolását. A zárolás addig tart, amíg a megjelölt indok szükségessé teszi az adatok tárolását. A kérelemre ezt haladéktalanul, de legfeljebb 30 napon belül meg kell tenni és a megadott elérhetőségre tájékoztatást kell küldeni.

The right to protest

Bármely személy a megadott elérhetőségeken keresztül tiltakozhat az adatkezelés ellen. A tiltakozást a kérelem benyújtásától számított legrövidebb időn belül, de legfeljebb 15 napon belül meg kell vizsgálni, annak megalapozottsága kérdésében döntést kell hozni és a döntésről a megadott elérhetőségre tájékoztatást kell küldeni.

Enforcement possibilities in relation to data processing

National Authority for Data Protection and Freedom of Information

Postal address: 1530 Budapest, Pf.: 5.

Address: 1125 Budapest, Szilágyi Erzsébet fasor 22/c
Phone: +36 (1) 391-1400
Fax: +36 (1) 391-1410
E-mail: ugyfelszolgalat (at) naih.hu
URL https://naih.hu

Az érintett a jogainak megsértése esetén az adatátvevő az adatkezelő ellen bírósághoz fordulhat. A bíróság az ügyben soron kívül jár el. A pert az érintett – választása szerint – a lakóhelye vagy tartózkodási helye szerint illetékes törvényszék előtt is megindíthatja.

12) A szervezet feladatai a megfelelő adatvédelem érdekében

  • Az adatvédelmi tudatosság. Ensure the professional skills to comply with the legislation. It is essential that staff are trained and familiar with the rules.
  • The purpose of data processing, the criteria and the concept of personal data processing should be reviewed. Ensure lawful processing and processing in accordance with the data protection and data management policy.
  • Proper information of the data subject. It should be noted that, where the processing is based on the data subject's consent, the controller must, in case of doubt, prove that the data subject has given his or her consent.
  • The information provided to the data subject must be concise, easily accessible and easy to understand, and therefore must be drafted and presented in clear and plain language.
  • Transparent processing requires that the data subject is informed of the fact and purposes of the processing. The information must be provided before the processing starts and the right to be informed during the processing until the processing ceases.

 

  • The main rights of the data subject are:
  • access to personal data concerning him or her;
  • rectification of personal data;
  • erasure of personal data;
  • restrictions on the processing of personal data;
  • object to profiling and automated processing;
  • the right to data portability.
  • The controller shall inform the data subject without undue delay and at the latest within one month of receipt of the request. If necessary, taking into account the complexity of the request and the number of requests, this time limit may be extended by a further two months. The obligation to provide information can be ensured by the operation of a secure online system through which the data subject can easily and quickly access the necessary information.
  • The organisation's data management practices should be reviewed, and the right to information self-determination should be ensured. At the request of the data subject, data shall be deleted without delay where the data subject withdraws the consent on the basis of which the processing was carried out.
  • The data subject's consent must unambiguously indicate that the data subject consents to the processing. Where the processing is based on the data subject's consent, the controller should, in case of doubt, prove that the data subject has consented to the processing operation.
  • When processing personal data of children, particular attention should be paid to compliance with data management rules. The processing of personal data in relation to information society services offered directly to children is lawful when the child is at least 16 years old. In the case of children under the age of 16, the processing of personal data of children is lawful only if and to the extent that consent has been given or authorised by the person having parental authority over the child.
  • In the event of unlawful processing or processing of personal data, the supervisory authority must be notified. The controller must make the notification to the supervisory authority without undue delay and, if possible, no later than 72 hours after becoming aware of the personal data breach, unless the personal data breach is unlikely to pose a risk to the rights of the natural person.
  • In certain cases, it may be appropriate for the controller to carry out a data protection impact assessment prior to processing. The impact assessment should assess the impact of the envisaged processing operations on the protection of personal data. If the DIA concludes that the processing is likely to present a high risk, the controller should consult the supervisory authority before processing personal data.
  • In cases where the main activities involve processing operations which, by their nature, scope or purposes, require systematic and systematic large-scale monitoring of data subjects, a data protection officer should be appointed. The appointment of the DPO should aim at strengthening data security.

13) Data security

In particular, appropriate measures must be taken to protect the data against unauthorised access, alteration, disclosure, disclosure, erasure or destruction, accidental destruction or accidental damage and against inaccessibility resulting from changes in the technology used.

In order to protect the data files managed electronically in the registers, appropriate technical arrangements should be in place to ensure that data stored in the registers cannot be directly linked and attributed to the data subject.

When designing and implementing data security, the state of the art must be taken into account. Among several possible data processing solutions, the one which ensures a higher level of protection of personal data should be chosen, unless this would impose a disproportionate burden on the controller.

14) Data protection incident

A data breach is a breach of security that results in the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, personal data transmitted, stored or otherwise processed.

A personal data breach may cause physical, material or non-material damage to natural persons, including loss of control over their personal data or restriction of their rights, discrimination, identity theft or misuse of their identity, if not addressed in an appropriate and timely manner.

A data protection incident must be notified to the competent supervisory authority without undue delay and no later than 72 hours, unless it can be demonstrated, in accordance with the principle of accountability, that the data protection incident is unlikely to pose a risk to the rights and freedoms of natural persons.

The data subject must be informed without delay if the personal data breach is likely to result in a high risk to the rights and freedoms of the natural person, in order to enable him or her to take the necessary precautions.

15) Processing for administrative and record keeping purposes

The organisation may also process personal data in the context of its activities and for administrative and record-keeping purposes.

The processing is based on the freely given and explicit consent of the data subject, based on appropriate information. After detailed information, including the purposes, legal basis and duration of the processing, as well as the rights of the data subject, the data subject must be made aware of the voluntary nature of the processing. Consent to the processing shall be recorded in writing.

Data processing for administrative and record-keeping purposes serves the following purposes:

  • processing of data of members and employees of the organisation, based on a legal obligation;
  • the processing of data of persons who have a contractual relationship with the organisation for the purposes of contact, accounting and record-keeping;
  • contact details of other organisations, institutions and undertakings doing business with the organisation, which may include contact details and identification data of natural persons.

The processing of data as described above is based on a legal obligation on the one hand, and on the other hand, the data subject has given his or her explicit consent to the processing of his or her data (e.g. for the purposes of an employment contract or when registering as a partner on a website, etc.)

In the case of written documents (such as CVs, job applications, other submissions, etc.) containing personal data, the consent of the person concerned must be presumed. Once the case is closed, the documents should be destroyed in the absence of consent for further use. The fact of destruction shall be recorded in a report.

In the case of processing for administrative purposes, personal data are only included in the files and records of the case. The processing of these data lasts until the document on which the processing is based is disposed of.

The processing for administrative and record-keeping purposes should be reviewed annually to ensure that the storage of personal data is limited to the necessary period, and inaccurate personal data should be deleted without delay.

Compliance with the law must also be ensured for processing for administrative and record-keeping purposes.

16) Processing for other purposes

If the organisation wishes to carry out processing not covered by this policy, it must first amend these internal rules accordingly or add sub-rules corresponding to the new processing purpose.

17) Other documents related to the Code

Documents and policies that contain, for example, a written statement of consent to data processing or, for example, a mandatory privacy notice for websites, should be linked to and managed together with the privacy and data protection policy.

18) Legislation on which the processing is based

  • REGULATION (EU) No 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Regulation (EC) No 95/46/EC (General Data Protection Regulation).

- Act CXII of 2011 on the Right to Informational Self-Determination and Freedom of Information.

  • Act LXVI of 1995 on public records, public archives and the protection of private archival material.
  • Government Decree 335/2005 (XII. 29.) on the general requirements of document management by public bodies.
  • Act CVIII of 2007 on certain aspects of electronic commerce services and information society services.
  • Act C of 2007 on electronic communications.