Adatvédelmi hatásvizsgálat. 12.1. Az Adatfeldolgozó köteles az Adatkezelőnek támogatást nyújtani hatásvizsgálatok elvégzéséhez, valamint annak során vele együttműködni és a vele együttműködésen bevezetni az azonosított adatvédelmi kockázatot csökkentő intézkedéseket.
12.2. Az Adatfeldolgozó szükség szerint, de legalább az adatkezelési műveletek által jelentett kockázat változása esetén a változást követő 3 munkanapon belül ellenőrzést folytat le annak értékelése céljából, hogy az adatkezelés az adatvédelmi hatásvizsgálatnak megfelelően történik-e.
Adatvédelmi hatásvizsgálat. Ha az adatkezelés valamely – különösen új technológiákat alkalmazó típusa –, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az Adatfeldolgozó az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Az Adatfeldolgozó köteles az adatvédelmi hatásvizsgálatról, annak eredményeiről és a hatásvizsgálat alapjául szolgáló új adatkezelésről az Adatkezelőt haladéktalanul tájékoztatni. Amennyiben az Adatfeldolgozó az új adatkezelési gyakorlattal vagy technológiával nem ért egyet akkor erről legkésőbb 3 napon belül értesíti az Adatkezelőt. Ebben az esetben az Adatfeldolgozó jelen szerződés tárgyát képező adatkezelések kapcsán nem alkalmazhatja az új adatkezelési gyakorlatot vagy technológiát. Amennyiben az Adatfeldolgozó nem fogadja el az Adatkezelő egyet nem értését, akkor egyoldalú nyilatkozattal 30 napos felmondási idővel felmondhatja jelen szerződést. Amennyiben az Adatfeldolgozó az Adatkezelő egyet nem értése esetén alkalmazza az új adatkezelési gyakorlatot vagy technológiát, akkor az Adatkezelő jogosult azonnali hatállyal felmondani jelen szerződést, és kártérítést követelhet. A hatásvizsgálat kiterjed legalább: a) a tervezett adatkezelési műveletek módszeres leírására és az adatkezelés céljainak ismertetésére, beleértve adott esetben az Adatfeldolgozó által érvényesíteni kívánt jogos érdeket; b) az adatkezelés céljaira figyelemmel az adatkezelési műveletek szükségességi és arányossági vizsgálatára; c) az érintett jogait és szabadságait érintő kockázatok vizsgálatára; és d) a kockázatok kezelését célzó intézkedések bemutatására, ideértve a személyes adatok védelmét és az e rendelettel való összhang igazolását szolgáló, az érintettek és más személyek jogait és jogos érdekeit figyelembe vevő garanciákat, biztonsági intézkedéseket és mechanizmusokat. Ha az adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés az Adatfeldolgozó által a kockázat mérséklése céljából tett intézkedések hiányában valószínűsíthetően magas kockázattal jár, a személyes adatok kezelését megelőzően az Adatkezelő köteles konzultálni a felügyeleti hatósággal (NAIH) és a konzultáció eredményéről az Adatfeldolgozót haladéktalanul tájékoztatni. A konzultációnak ki kell terjednie a Rendelet 36. cikkében foglalt információkra.
Adatvédelmi hatásvizsgálat. Amennyiben az Adatvédelmi jogszabályok az Ügyfél (vagy Adatkezelői) számára előírják egy adatvédelmi hatásvizsgálat elvégzését, vagy a szabályozó szervekkel való előzetes konzultációt, az Ügyfél kérésére az SAP az ilyen dokumentumokat az SAP Szolgáltatásokra vonatkozóan általánosan elérhető formában biztosítja (mint pl. a jelen Adatfeldolgozási szerződést, a Szerződést, az auditjelentéseket vagy tanúsítványokat). Bármely további támogatásról a Feleknek közösen kell megállapodniuk.
Adatvédelmi hatásvizsgálat. A jelen Szabályzat hatályba lépésének időpontjában az Adatkezelő adatvédelmi hatásvizsgálatot lefolytatásának kötelezettségével kapcsolatban az alábbi okokból az alábbi következtetésekre jutott: Az Rillgo, mint elsődlegesen futárszolgáltatási platformot nyújtó cég, nem folytat olyan adatkezelést és nem alkalmaz olyan technológiát, amely az Érintettek jogaira és szabadságaira nézve lényeges kockázatot jelentene, ezért adatvédelmi hatásvizsgálat lefolytatására nem köteles.
Adatvédelmi hatásvizsgálat. A Vállalkozás e rendeletnek való megfelelés érdekében teljes körűen áttekintette az adatvédelemmel kapcsolatos tevékenységét. Az adatvédelmi stratégia kidolgozása alapján – elsődleges megfelelés az EU 2016/679. rendeletének valamint az Infotv.-nek – elkészítette a jelen Adatvédelmi Szabályozást és azt ezt kiegészítő Informatika Biztonsági Szabályzatát ennek mellékleteivel. Az adatvédelmemmel kapcsolatos belső utasításokat hozott, egyéb szabályozó intézkedéseket tett. A kialakított adatvédelmi stratégia és az elkészült dokumentáció elemzése során – figyelemmel a kockázatok forrására, jellegére, egyediségére, valamint súlyosságára - megállapította, hogy a Vállalkozás esetében nem valószínűsíthető, hogy az adatkezelési műveletek magas kockázattal járnának a természetes személyek jogaira és szabadságaira nézve. Az adatvédelmi felelős az adatvédelemmel kapcsolatosan kialakított szabályozásának betartását folyamatosan ellenőrzi.
Adatvédelmi hatásvizsgálat. A tervezett adatkezelési műveletek személyes adatok védelmére vonatkozó hatása tekintetében az Adatkezelő az adatkezelés megkezdését megelőzően hatásvizsgálatot folytat le, amennyiben a tervezett adatkezelés – különösen új technológiákat alkalmazó – típusa, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve. Ha az elvégzett kockázatbecslés alapján a tervezett adatkezelés valószínűsíthetően az Érintetteket megillető, valamely alapvető jog érvényesülését lényegesen befolyásolja, az Adatkezelő – a kötelező adatkezelés eseteit kivéve – az adatkezelés megkezdését megelőzően írásban elemzést készít arról, hogy a tervezett adatkezelés az érintetteket megillető alapvető jogok érvényesülésére milyen várható hatásokat fog gyakorolni, amelynek tartalmaznia kell továbbá a kockázatok kezelése céljából tervezett, valamint a személyes adatokhoz fűződő jog érvényesülésének biztosítására irányuló, az adatkezelő által alkalmazott intézkedéseket.
Adatvédelmi hatásvizsgálat. 11.1. Abban az esetben, ha a Rendelet 35. cikke alapján adatvédelmi hatásvizsgálatot kell elvégezni, az adatkezelést megelőzően a Felek együttműködnek a hatásvizsgálat elvégzése céljából. Amennyiben az adatvédelmi hatásvizsgálat azt állapítja meg, hogy az adatkezelés az adatkezelő által a kockázat mérséklése céljából tett intézkedések hiányában valószínűsíthetően magas kockázattal jár, a személyes adatok kezelését megelőzően az adatkezelő1/adatkezelő2 konzultál a felügyeleti hatósággal, és ezzel kapcsolatban tájékoztatja a hatóságot: a közös adatkezelők és adatfeldolgozók feladatköreiről, a tervezett adatkezelés céljáról, módjáról, az érintetti jogok védelme érdekében hozott intézkedésekről, garanciákról az adatvédelmi tisztviselő elérhetőségeiről, az adatvédelmi hatásvizsgálatról, és a felügyeleti hatóság által kért egyéb információról.
Adatvédelmi hatásvizsgálat. Ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa –, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az adatkezelést megelőzően hatásvizsgálatot végzünk arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Olyan egymáshoz hasonló típusú adatkezelési műveleteket, amelyek egymáshoz hasonló magas kockázatokat jelentenek, egyetlen hatásvizsgálat keretei között is értékelhetünk. Szükség szerint, de legalább az adatkezelési műveletek által jelentett kockázat változása esetén ellenőrzést folytatunk le annak értékelése céljából, hogy a személyes adatok kezelése az adatvédelmi hatásvizsgálatnak megfelelően történik-e.
Adatvédelmi hatásvizsgálat. A természetes személyek jogaira és szabadságaira nézve, az e kockázat forrását, jellegét, egyediségét és súlyosságát felmérő adatvédelmi hatásvizsgálat elvégzéséért az Intézmény felel. A hatásvizsgálat megállapításait figyelembe kell venni annak meghatározásakor, hogy mely intézkedések a megfelelőek annak bizonyítására, hogy a személyes adatok kezelése megfelel-e a GDPR-nak. Ha az adatvédelmi hatásvizsgálat szerint az adatkezelési műveletek olyan magas kockázattal járnak, amelyet az Intézmény nem képes a rendelkezésre álló technológia és a végrehajtási költségek szempontjából is megfelelő intézkedésekkel mérsékelni, az adatkezelést megelőzően a Nemzeti Adatvédelmi és Információszabadság Hatósággal konzultálni kell.