Ahhoz, hogy a hozzájárulás érvényesnek minősüljön,

• önkéntes;
• konkrét;
• tájékoztatáson alapuló; és
• egyértelmű
• kell, hogy legyen.

Ez azt jelenti, hogy az érintetteknek valóban szabad választási lehetőséget kell biztosítani arra vonatkozóan, hogy egyetértenek-e a személyes adataik kezelésével vagy sem; elegendő információra van szükségük ahhoz, hogy megértsék, mely személyes adataikat kezelik, milyen célból és hogyan; a hozzájárulás iránti kérelmek kapcsán is kellő részletességre van szükségük.

Ezenkívül egyértelmű megerősítő intézkedés szükséges az érintett részéről (előre kipipált négyzetek nélkül és az alkalmazandó általános feltételektől elkülönítve).

Ezenkívül az érintettek szabadon visszavonhatják a hozzájárulásukat (negatív következmények nélkül), ha később meggondolják magukat.

További információk:

• A személyes adatok jogszerű kezelése

Az általános adatvédelmi rendelet különleges jogokat ír elő az egyének számára, amelyeket tiszteletben kell tartani. Ezt a következőképpen teheti meg:

• tájékoztatja azokat az egyéneket, akiknek az adatait feldolgozza az adatkezelési műveletekről és a feldolgozási célokról, amikor adatokat gyűjt, például a webhelyén található adatvédelmi nyilatkozaton keresztül;
• azáltal, hogy válaszol az egyének jogaik gyakorlására irányuló kéréseire, például a hozzáférésre, helyesbítésre, kifogásra, törlésre vagy hordozhatóságra vonatkozó kérelmekre.

Azok a szervezetek, amelyek átláthatóak személyes adataik felhasználásáról, és amelyek tiszteletben tartják az egyének jogait, kevésbé valószínű, hogy panasz tárgyát képezik.

További információk:

• Az érintettek jogainak tiszteletben tartása

Az érintett jogosult arra, hogy kérje a rá vonatkozó személyes adatok törlését, és ebben az esetben az adatkezelő köteles törölni a személyes adatokat. Indokolatlan késedelem nélkül, de legkésőbb a kérelem kézhezvételétől számított egy hónapon belül válaszolnia kell. Ez a határidő további két hónappal meghosszabbítható, ha a kérelem túl bonyolult, és több időre van szükség a kérelem teljesítéséhez, feltéve, hogy erről az érintettet a kérelem kézhezvételétől számított egy hónapon belül tájékoztatják.
Fontos megjegyezni, hogy a törléshez való jog nem abszolút. Nem alkalmazandó, ha a szóban forgó adatok a következőkhöz szükségesek:

• a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása (pl. újságírói célokból);
• a személyes adatok kezelését igénylő jogi kötelezettség teljesítése (pl. a munkavállalók munkaidejére vonatkozó nyilvántartások kezelése);
• a népegészségügy területén fennálló közérdek
• közérdekű archiválás célja, tudományos és történelmi kutatási célok vagy statisztikai célok; és
• jogi igények előterjesztésére, érvényesítésére vagy védelmére.

Ha a törölni kívánt személyes adatokat korábban más szervezeteknek továbbították, tájékoztatnia kell ezeket a címzetteket arról, hogy az érintett kérelmezte a törlést, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalan erőfeszítést igényelne.

További információk:

• Az érintettek jogainak tiszteletben tartása

You should respond without undue delay and at the latest within one month after receipt of the request. This deadline can be extended by another two months if the request is too complex and more time is needed to answer, provided that the individual is informed of this within one month after receiving the request.

You must do this free of charge.

More information:

• Respect individuals’ rights

Nem, a különleges adatok feldolgozása általában nem megengedett, kivéve nagyon kivételes körülmények esetén:

• Az érintett kifejezett hozzájárulását adta a különleges adatok kezeléséhez.
• A különleges adatok kezelése szükséges ahhoz, hogy az adatkezelő teljesíteni tudja kötelezettségeit, különösen a foglalkoztatással, a szociális biztonsággal és a szociális védelemmel összefüggésben. Például az adatkezelőnek az érintett különleges adatait annak megállapítása érdekében kell kezelnie, hogy jogosult-e bizonyos társadalombiztosítási ellátásokra vagy foglalkoztatási juttatásokra.
• A különleges adatok kezelése az érintett létfontosságú érdekeinek védelméhez szükséges, ha az érintett fizikai vagy jogi  cselekvőképtelensége esetén nem képes a hozzájárulás megadására. Például, ha egy személy baleset következtében eszméletlen marad, és azonnali orvosi ellátást igényel, előfordulhat, hogy egészségügyi adatait kezelni kell a megfelelő orvosi ellátás biztosítása érdekében.
• Az érzékeny adatok kezelése valamely politikai, világnézeti, vallási vagy szakszervezeti célú alapítvány, egyesület vagy más nonprofit szervezet jogszerű tevékenysége keretében történik, és kizárólag a tagjaik, korábbi tagjaik vagy a velük rendszeres kapcsolatban álló személyek személyes adatainak kezelése céljából történik.
• A különleges adatokat az érintett kifejezetten nyilvánosságra hozta.
• A különleges adatok kezelése jogi eljárás keretében szükséges.
• A különleges adatok kezelése jelentős közérdekű ügyek miatt szükséges.
• A különleges adatok kezelése megelőző egészségügyi vagy foglalkozás egészségügyi célokból szükséges. Például az érintett különleges adatainak, amilyenek az egészségügyi adatai, felmérése szükséges lehet a munkavállaló munkaképességének meghatározásához.
• A különleges adatok kezelése az uniós vagy a nemzeti jog alapján közegészségügyi ügyekben szükséges. Például az egyének érzékeny adatainak feldolgozása szükséges lehet az egészségügyi ellátás magas színvonalának és az orvosi termékek magas minőségének biztosításához, illetve a súlyos egészségügyi veszélyek, például a vírusok elleni küzdelemhez.
• A különleges adatok kezelése közérdekű archiválás céljából, tudományos kutatási célból vagy statisztikai célból szükséges. Például különleges adatok kezelésére lehet szükség ahhoz, hogy pontos statisztikákat lehessen készíteni egy adott ország helyzetéről egy adott területen. 

További információk:

• Személyes adatok jogszerű kezelése

A személyes adatokat nem tárolhatja örökre.

A személyes adatok általános szabály szerint  addig tárolhatók, amíg az a személyes adatok kezelésének céljaira tekintettel szükséges.
Bizonyos esetekben a tárolási időszakot speciális szabályok határozzák meg, például a munkaügyi szabályok meghatározzák a bérszámfejtési listák tárolási idejét.

A szervezeteknek adatmegőrzési politikákat kell bevezetniük annak biztosítása érdekében, hogy a személyes adatokat ne tárolják a szükségesnél hosszabb ideig. Az érintettek személyes adatait törölni vagy anonimizálni kell, ha ezek az adatok már nem szükségesek az adatkezelés által elérni kívánt célhoz.

További információk:

• Adatvédelmi alapok

Az adatvédelmi tisztviselők a szervezeten belül más feladatokat is elláthatnak, de ez nem eredményezhet összeférhetetlenséget. Ez azt jelenti, hogy az adatvédelmi tisztviselő nem határozhatja meg az adatkezelési tevékenységek céljait és eszközeit. Az összeférhetetlen funkciók közé tartoznak elsősorban a vezetői pozíciók (főigazgató, vezérigazgató, pénzügyi igazgató, HR-vezető, IT-vezető, ügyvezető igazgató), de más funkciókkal is járhatnak, ha azok az adatkezelés céljainak és eszközeinek meghatározásához vezetnek.
Az adatvédelmi tisztviselőnek képesnek kell lennie arra, hogy feladatait és feladatait független módon lássa el. Ez azt jelenti, hogy az Ön szervezete:

• nem adhat utasításokat az adatvédelmi tisztviselőnek az adatvédelmi tisztviselő feladatainak ellátására vonatkozóan;
• nem büntetheti vagy bocsáthatja el az adatvédelmi tisztviselőt feladatai ellátása miatt.

További információk:

• Adatvédelmi tisztviselő

A GDPR biztosítja az egyének számára a személyes adataik kezelésének ellenőrzését. Ehhez kulcsfontosságú az átláthatóság. Ez azt jelenti, hogy tájékoztatnia kell azokat az egyéneket, akiknek az adatait kezeli az adatkezelési műveletekről és a célokról. Más szóval, meg kell magyarázni, hogy ki kezeli az adatait, de azt is, hogy hogyan és miért. Csak abban az esetben, ha a személyes adatok kezelése „átlátható” az érintettek számára, értékelhetik a lehetséges kockázatokat, és hozhatnak döntéseket személyes adataikkal kapcsolatban.
A GDPR értelmében Ön köteles megosztani az alábbi információkat magánszemélyekkel:

• az adatkezelő személyazonossága és elérhetősége;
• az adatkezelés céljai;
• az adatkezelés jogalapja (ha jogos érdek, konkrét információ arról, hogy mely jogos érdek kapcsolódik az adott adatkezeléshez, és arról, hogy mely jogalany érvényesíti az egyes jogos érdekeket.)
• az adatkezelő elérhetőségei;
• az adatvédelmi tisztviselő elérhetőségei (amennyiben van adatvédelmi tisztviselő);
• az adatok címzettjei vagy címzettjeinek kategóriái;
• Tájékoztatás arról, hogy az adatokat az Európai Gazdasági Térségen (EGT) kívülre továbbítják-e (adott esetben: megfelelőségi határozat megléte vagy hiánya, vagy hivatkozás a megfelelő biztosítékokra, valamint arra, hogy ezek az információk hogyan bocsáthatók az érintettek rendelkezésére;
• a kezelt személyes adatok kategóriái, amennyiben az adatokat nem az egyéntől szerezték be.

A GDPR továbbá előírja, hogy szervezete a tisztességes és átlátható adatkezelés biztosítása érdekében a következő információkat adja meg:

• a megőrzési időszak, vagy ha ez nem lehetséges, az időszak meghatározásához használt kritériumok;
• a személyes adatokhoz való hozzáférés kérelmezéséhez, törléséhez, helyesbítéséhez, korlátozásához, tiltakozásához és hordozhatóságához való jog;
• az adatvédelmi hatóságnál történő panasztétel joga;
• ha az adatkezelés jogalapja a hozzájárulás: a hozzájárulás bármikor történő visszavonásának joga;
• automatizált döntéshozatal esetén az adatkezelés alapjául szolgáló logikára és az adatkezelés tervezett következményeire vonatkozó releváns információk az érintettre nézve;
• a személyes adatok forrása (ha nem közvetlenül az érintettől kapta meg azokat;
• az, hogy az érintett köteles-e megadni a személyes adatokat (törvény, szerződés vagy szerződés alapján), és milyen következményekkel jár az adatok átadásának megtagadása.

További információk:

• Az egyének jogainak tiszteletben tartása

Az adatvédelmi incidens a biztonság olyan sérülése, amely a személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.

• Ha az adatvédelmi incidens kockázattal jár az érintett személyekre nézve, akkor azt 72 órán belül jelentenie kell az illetékes adatvédelmi hatóságnak.
• Ha a jogsértés valószínűsíthetően magas kockázattal jár az egyénekre nézve, akkor indokolatlan késedelem nélkül értesítenie kell az érintett személyeket is.

Mindenesetre minden jogsértés esetében – még azoknál is, amelyeket nem jelententenek az adatvédelmi hatóságnak – rögzítenie kell legalább a jogsértés alapvető részleteit, azok értékelését, hatásait és a válaszlépéseket.

További információk:

• Adatvédelmi incidensek

Az egyének megkérdezhetik, hogy Ön kezeli-e az adataikat, és ha igen, joguk van hozzáférni az adatokhoz. Tehát amikor ez megtörténik, és Ön kezeli az adataikat, akkor például díjmentesen meg kell adnia a személyes adataik másolatát, a szükséges kiegészítő információkkal együtt. Amennyiben a kérelmet elektronikus úton nyújtják be, szervezetének általánosan használt elektronikus formátumban kell rendelkezésre bocsátania a kért információkat, kivéve, ha az egyéni kérések másképpen történnek.

További információk:

Az egyének jogainak tiszteletben tartása