Adatvédelem

Kötelező erejű vállalati szabályok

A Fresenius Kabi (Fresenius Kabi AG és kapcsolt vállalatai) és a Fresenius Corporate üzletágak csoportvállalatai közötti személyes adatok kezelésének és feldolgozásának következetes szabályozása érdekében kötelező erejű vállalati szabályokat (Binding Corporate Rules, BCR) fogadtunk el. Ezeket a BCR-eket az Európai Adatvédelmi Hatóság hagyta jóvá.

A BCR a multinacionális szervezeteken belüli adatfeldolgozás belső szabályai, amelyek célja a kapcsolódó biztonsági politikákkal és eljárásokkal együtt, hogy a részt vevő vállalatok számára globálisan egységes és megfelelő szintű adatvédelmet teremtsenek.

Amennyiben érdekli a kötelező erejű vállalati szabályzatunk, kérjük, tekintse meg a dokumentumot vagy az alábbi összefoglalót:

Kérésére a Fresenius Kabi Kötelező vállalati szabályzatát eljuttatjuk Önnek.

A kötelező erejű vállalati szabályok összefoglalása

Az alábbi összefoglaló nem helyettesíti a Kötelező erejű vállalati szabályok (BCR) dokumentumot. A BCR dokumentum minden esetben az egyetlen jogilag alkalmazandó dokumentum.

Megfelelő és egységes szintű adatvédelem

A Freseniusnak világszerte számos adatvédelmi törvényt kell betartania. A kötelező erejű vállalati szabályok (BCR) egységes és megfelelő adatvédelmi szintet határoznak meg. Ez lehetővé teszi a személyes adatok belső cseréjét a Fresenius hatálya alá tartozó egységei között.

Világszerte alkalmazható

A BCR a következő Fresenius egységekre vonatkozik:

Fresenius Kabi AG, beleértve az összes leányvállalatot / kapcsolt vállalkozást is, így Fresenius Kabi Hungary Kft.t- is
Fresenius Digital Technology GmbH
Fresenius SE & Co. KGaA

Bizonyos tevékenységekre alkalmazandó

A BCR a következő személyesadat-feldolgozási tevékenységekre vonatkozik:

Az európai szervezetek valamennyi tevékenysége.
Nem európai szervezetek tevékenységei:
- Amikor személyes adatokat gyűjtenek egy európai Fresenius szervezet nevében vagy
- Ha együttműködnek egy európai Fresenius egységgel
- Amikor személyes adatokat kapnak európai jogalanyoktól
- Amikor személyes adatokat gyűjtenek az Európában tartózkodó személyektől áruk és szolgáltatások kínálása vagy viselkedés nyomon követése céljából.

A BCR mind a papíralapú, mind az informatikai alapú folyamatokra vonatkozik. A BCR minden olyan folyamatra vonatkozik, amely lehetővé teszi a személyes adatok strukturált keresését.

A BCR meghatározza a minimális szintet

Ha a helyi adatvédelmi törvények szigorúbb vagy kiegészítő szabályokat írnak elő a személyes adatok feldolgozására vonatkozóan, akkor ezeket is be kell tartani.

Ha egy helyi jogszabály ellentmond a BCR-nek, az adatvédelmi tisztviselőt tájékoztatni kell. Az adatvédelmi tisztviselő értékeli a hatást, és feloldja az ellentmondást.

Ha egy jogalany olyan hatósági utasítást kap személyes adatok közlésére, amely nincs összhangban a BCR követelményeivel, akkor erről tájékoztatni kell az adatvédelmi tisztviselőt. Az adatvédelmi tisztviselő tájékoztatja a németországi felügyeleti hatóságot.

A BCR kötelező érvényű a szervezetre és a munkatársainkra nézve is

A BCR-eket kötelezővé kell tenni, és kötelező érvényűek:

Minden Fresenius csoportba tartozó jogalanyra: amikor szerződést ír alá
Minden alkalmazottra: munkaszerződésük alapján kötelesek követni a vállalati irányelveket.

A szervezetek és az emberek ezekből a kötelezettségekből jogokat származtathatnak. A BCR betartatása és a jogsértések miatti lehetséges szankciók ugyanazok, mint bármely más norma megsértése esetén.

A személyes adatok feldolgozása során a BCR-nek megfelelően számos alapelvet követünk az egyének alapvető jogainak és szabadságainak védelme érdekében. A személyes adatok feldolgozása során minden jogalany köteles betartani a következő elveket:

1. alapelv: Jogszerűség

Dokumentált jogalapja van a személyes adatok gyűjtésének, felhasználásának és feldolgozásának. Ezek a jogalapok korlátozó jelleggel vannak felsorolva. Példák:

Az adatkezelés az egyénekkel kötött szerződés teljesítéséhez szükséges, mint például a munkavállalói szerződések és az adásvételi szerződések.
Az egyén beleegyezését adta
A Fresenius jogos érdekei nagyobbak, mint az egyénekre gyakorolt negatív következmények.
Egyéb jogi kötelezettségek, például az adótörvények, az éberségi követelmények vagy a GxP-követelmények teljesítésének szükségessége.

Az adatok különleges kategóriáinak, például az egészségügyi adatoknak, további jogalapokra van szükségük.

Ha a helyi jogszabályok további vagy eltérő rendelkezéseket írnak elő, ezeket is be kell tartani (ez például a munkavállalói adatokra vonatkozhat).

2. alapelv: Átláthatóság, tisztességes eljárás

A személyes adatok tisztességes és átlátható módon történő kezelése. A személyes adatok gyűjtése és felhasználása előtt vagy a gyűjtés és felhasználás pillanatában tájékoztassa az egyéneket a következőkről:

Ki a felelős és hogyan lehet velünk kapcsolatba lépni
Milyen adatokat gyűjtenek
Az adatgyűjtés módja
Miért van szükségünk az adatokra (cél)
Milyen szervezetekkel osztják meg az adatokat
Ha azt más országokkal megosztják
Mennyi ideig tárolják az adatokat
Az adatgyűjtés és -felhasználás jogalapja és annak magyarázata (1. alapelv)
Ha az egyének profilja
Ha automatizált módon hozunk döntéseket
Ha az adatokat meg kell adni, és mi történik, ha ez nem történik meg
Az adatvédelmi tisztviselő és a hatóság elérhetőségei
Az érintettek jogai.

Mindezeket az információkat átfogó és könnyen hozzáférhető formában, világos és közérthető nyelven kell megadni.

3. alapelv: Célhoz kötöttség

A személyes adatokat csak a meghatározott, egyértelmű és jogszerű célokra használja fel, amelyekhez azokat gyűjtötték. További felhasználás nem megengedett, kivéve, ha ez a további felhasználás összhangban van az eredeti céllal és/vagy további intézkedéseket hoznak.
A további feldolgozás céljai, amelyek általában az eredeti céllal összhangban lévőnek tekinthetők, a következők:

Archiválás
Belső ellenőrzés
Vizsgálatok.

A (helyi)adatvédelmi tanácsadó útmutatást tud adni, ha a cél megváltoztatása megengedett. Engedélyezett célváltozás esetén az egyéneknek tájékoztatást kell kapniuk az ilyen változásokról.

4. alapelv: Adattakarékosság

Csak olyan személyes adatokat gyűjthetők és használhatók, amelyek az érintettel közölt, meghatározott célhoz szükségesek. Ez azt jelenti, hogy biztosítani kell, hogy a személyes adatok relevánsak legyenek, és a célhoz képest ne legyenek túlzott mértékűek.

5. alapelv: Pontosság

A személyes adatok pontosak és naprakészek kell hogy legyenek. Eljárásokat kell bevezetni annak biztosítására, hogy a pontatlan adatok haladéktalanul törlésre, helyesbítésre vagy frissítésre kerüljenek.

6. alapelv: Korlátozott tárolhatóság

A tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé. Ebben az esetben az adatokhoz való hozzáférést korlátozni kell. Törölje vagy anonimizálja a személyes adatokat, ha nincs többé megfelelő jogalap vagy cél.

7. alapelv: Biztonság, integritás és bizalmasság

Megfelelő technikai és szervezési intézkedések meghozatala a személyes adatok megsemmisítés, elvesztés, megváltoztatás, nyilvánosságra hozatal vagy a személyes adatokhoz való hozzáférés elleni védelme érdekében (pl. megfelelő szerepek és jogok koncepciója, biztonsági mentés és helyreállítás vagy titkosítás alkalmazása révén).
Az ilyen intézkedések végrehajtásakor figyelembe kell venni az egyént érintő kockázatokat. Az informatikai rendszerek biztonságát az informatikai rendszerek telepítésekor és karbantartásakor e kockázatok fényében kell értékelni.  Dokumentálni kell és jelenteni kell az adatvédelmi szervezetnek a biztonság minden olyan megsértését, amely valószínűleg kockázatot jelent az érintett egyének számára. A helyzettől függően az ilyen jogsértéseket a felügyeleti hatóságnak, az egyéneknek vagy más szervezeteknek is be kell jelenteni.

8. alapelv: Elszámoltathatóság

Képes legyen bizonyítani a BCR betartását. Ez a megfelelő dokumentáció létrehozásával és karbantartásával történik, mint például:

a feldolgozási tevékenységek nyilvántartása
az adatvédelmi elveknek való megfelelés és a kockázatok kezelése érdekében hozott technikai és szervezési intézkedések.
adatvédelmi kockázat- és ellenőrzési értékelések

A feldolgozók bevonása

Csak olyan adatfeldolgozókat veszünk igénybe, amelyek megfelelő garanciákat nyújtanak a megfelelő technikai és szervezési intézkedések végrehajtására oly módon, hogy a feldolgozás megfeleljen a BCR és a helyi adatvédelmi jogszabályok követelményeinek. Ezt az adott jogalany és az adatfeldolgozó közötti adatvédelmi szerződés biztosítja.

Személyes adatok továbbítása

Intézkedések végrehajtása a személyes adatok EGT-n kívüli címzettek részére történő továbbításának megfelelő védelmére, a jelen BCR-nek megfelelően. Ezt úgy lehet megtenni, hogy az Európai Bizottság által elfogadott általános adatvédelmi kikötésekben állapodnak meg a másik szervezettel.

Az egyének számára lehetővé kell tenni, hogy gyakorolhassák jogaikat (az érintettek jogai):

A személyes adatokhoz való hozzáférés joga: Az egyén kérheti a Fresenius által feldolgozott személyes adatokhoz való hozzáférést/információkat (pl. a feldolgozás célja, az érintett személyes adatok kategóriái, a címzettek, a tárolási időszakok, az automatizált döntéshozatal esetleges megléte).
A személyes adatok helyesbítéséhez való jog: Az egyén kérheti a pontatlan vagy hiányos személyes adatok helyesbítését.
A személyes adatok törléséhez való jog: Az egyén kérheti személyes adatainak törlését, kivéve, ha azokat meg kell őrizni, pl. jogi megőrzési követelmények miatt.
A személyes adatok feldolgozásának korlátozásához való jog: Az érintett kérheti személyes adatai feldolgozásának korlátozását, ha a személyes adatok pontosságát vitatják, vagy ha a feldolgozás jogellenes (már nem szükséges az elérni kívánt célokhoz).
A személyes adatok hordozható formátumban történő átvételéhez való jog: Az érintett kérheti, hogy személyes adatait általánosan használt és géppel olvasható formátumban kapja meg, ha a következő feltételek teljesülnek:
- A személyes adatokat az érintett adta meg
- Az adatkezelés az érintett hozzájárulásán vagy az érintettel kötött szerződésen alapul.
- A feldolgozás automatizált eszközökkel történik.
A személyes adatok feldolgozása elleni tiltakozás joga: Az érintett személyes helyzetére tekintettel tiltakozhat személyes adatainak jogos vagy közérdeken alapuló feldolgozása ellen. Az ilyen kérelmet értékelni kell. Az érintett tiltakozhat továbbá a közvetlen üzletszerzés és a profilalkotás ellen. A feldolgozást ekkor le kell állítani.
Az automatizált döntéshozatal elleni tiltakozáshoz való jog: Az érintettnek joga van ahhoz, hogy ne legyen tárgya olyan automatizált döntéshozatalnak (ideértve a profilalkotást is), amely az egyénre nézve jogi vagy hasonló jelentős következményekkel járhat, kivéve, ha:
- A magánszemély és az adott jogalany közötti szerződés megkötéséhez vagy teljesítéséhez szükséges.
- Ez az egyén kifejezett hozzájárulásán alapul.

Hozzáférés a BCR-hez

A BCR-nek megfelelő módon elérhetőnek kell lennie az egyének számára. A BCR-t ennek megfelelően közzétesszük az Interneten. Az érintettek a BCR-hez úgy is hozzáférhetnek, hogy kapcsolatba lépnek az adott adatvédelmi tisztviselővel vagy az adatvédelmi szervezet bármely tagjával.

BCR panaszkezelés

Minden érintett jogosult:

tiltakozni a BCR, a helyi adatvédelmi törvények, a felügyeleti hatóságok utasításai, a belső politikák és iránymutatások, illetve az adatvédelemmel kapcsolatos önkéntes kötelezettségvállalások megsértése ellen,
Érintetti jogait érvényesíteni,
A BCR bármely más jogát érvényesíteni.

Az ilyen panaszokat például telefonon, e-mailben, levélben, szóban, az érintett adatvédelmi tisztviselőhöz, az érintett adatvédelmi hatósághoz vagy a megfelelőségi forródróthoz fordulva lehet benyújtani. Amennyiben a panaszt megalapozottnak ítélik, a szervezet megfelelő intézkedéseket tesz a panasz kezelésére, és egy hónapon belül tájékoztatja az érintettet.

Felelősség és végrehajtás

Azok a magánszemélyek, akiket személyes adataik feldolgozása érint vagy akiket kár ért, jogosultak a BCR ezen részeinek érvényesítésére, és adott esetben kártérítésre az illetékes bíróság előtt. Az EU-n kívül letelepedett felek által elkövetett bizonyított jogsértések esetén Fresenius SE (FSE) vállalja a felelősséget az egyénekkel szembeni károkért. A kárt okozó jogalany köteles észszerű segítséget nyújtani az FSE-nek az ilyen panaszok vagy kérések időben történő megválaszolásához.

Együttműködés a felügyeleti hatóságokkal

Minden jogalany köteles együttműködni a felügyeleti hatóságokkal, eleget tenni az e BCR értelmezésére vonatkozó tanácsoknak, és elfogadni, hogy az érintett felügyeleti hatóságok auditálják.

Képzés

Minden FSE jogalany kötelezi alkalmazottait, hogy vegyenek részt a BCR-ről és az adatvédelemről szóló képzésen, és rendszeresen ismételjék meg az ilyen képzést. Az általános képzést legalább kétévente minden érintett alkalmazott számára biztosítani kell. Ezen túlmenően szerepkör-specifikus képzéseket (pl. a HR vagy a beszerzési osztályok számára) is biztosítanak, figyelembe véve az egyes szerepkörök/személyek sajátos igényeit.

Auditálás

Minden fél vállalja, hogy rendszeresen ellenőrzi magát (tervezett vagy eseti auditok révén), hogy értékelje és tesztelje a BCR betartását, és megfelelő és elégséges mechanizmusokat alkalmazzon a BCR-nek való meg nem felelés orvoslására. Az adatvédelmi szervezet nyomon követi az elvégzett auditokat, hogy értékelje, hogy a javasolt korrekciós intézkedéseket megfelelően végrehajtották-e, és az auditjelentésben dokumentálja az eredményeket. Minden szervezet kérésre az ellenőrzési jelentéseket a felügyeleti hatóságok rendelkezésére bocsátja.

A BCR frissítése

A felek felülvizsgálják a helyi adatvédelmi jogszabályokat, és jelzik, ha a BCR módosítására van szükség. A Fresenius szükség esetén módosíthatja a BCR-t. A BCR minden jelentős változását haladéktalanul jelentik az egyes jogalanyoknak és a felügyeleti hatóságnak. A BCR minden egyéb, nem lényegi módosítását a lehető leghamarabb jelenteni fogják a feleknek.