(3) Az adatkezelő az e törvény hatálya alá tartozó adatkezeléseket - kivéve, ha az tudományos kutatás célját szolgálja, és nem hozzák nyilvánosságra [Avtv. 30. § h) pont] - a tevékenység megkezdése előtt az Avtv. 28. §-ának (1) bekezdése alapján köteles az adatvédelmi biztosnak bejelenteni.

II.

Tudományos kutatási célú adatkezelés

7. § (1) A tudományos kutatónak az e törvény hatálya alá tartozó kutatás megkezdése előtt kutatási adatkezelési tervet kell készítenie. A tervet módosítani kell, ha az adatkezelés célja a kutatás folyamata alatt megváltozik. A kutatási adatkezelési tervnek tartalmaznia kell:

a) a kutatási jogosultságot,

b) a kutatás célját,

c) a kezelendő személyes adatok körét és azok forrását,

d) az adatkezelés folyamatát,

e) az érintett jogai gyakorlati érvényesíthetőségének biztosítékait, valamint

f) az adatvédelmet biztosító technikai és szervezési intézkedéseket.

(2) A kutatási adatkezelési tervet az adatkezelés jogszerűségének bizonyíthatósága és az ellenőrzés lehetőségének biztosítása céljából az adatok kezelésének megszüntetéséig meg kell őrizni.

(3) Intézeti tudományos kutatás esetén a tudományos kutató jogait és kötelezettségeit a kutatási tevékenységet végző szervet illetik meg, illetőleg terhelik.

Adatátvétel és adattovábbítás

8. § (1) A tudományos kutatás céljából a 3. § szerint átvett név- és lakcím adatok újabb információk beszerzése céljából történő felhasználásához az elhunyt személy örökösének a hozzájárulása szükséges, ha az érintett személy az adatok felvételét vagy átvételét megelőző harminc éven belül elhalt. Amennyiben az örökös személye nem állapítható meg, vagy hozzájárulásának beszerzése aránytalan nehézséget jelentene, úgy a hozzájárulást az elhunyt személy hozzátartozója is megadhatja.

(2) A tudományos kutatásban érintett személlyel történő kapcsolatfelvételhez szükséges adatok a 3. § (1) bekezdése alapján vehetők át. A kapcsolatfelvételt követően az érintett név- és lakcímadata csak a vele való folyamatos kapcsolattartáshoz használható fel, és a kutatás befejezésekor az adatok kezelését meg kell szüntetni.

9. § (1) Ha az 5. § (1) bekezdésében meghatározott tájékoztatási kötelezettség teljesítése a kutatási cél megvalósulását veszélyeztetné, akkor az adatgyűjtés befejezését követően kell az érintett személyt adatainak felhasználásáról és jogairól teljeskörűen tájékoztatni.

(2) Ha az érintett a név- és lakcímadatainak a kezelését az (1) bekezdés alapján adott tájékoztatás alkalmával vagy a kutatás későbbi időpontjában megtiltja, azokat kérelmére meg kell semmisíteni, és erről az érintettet írásban tájékoztatni kell.

(3) Az (1) bekezdés szerinti tájékoztatási kötelezettségtől, illetőleg a hozzájárulás beszerzésétől csak akkor lehet eltekinteni, ha a kutatás célja szociális, népegészségügyi, közoktatási vagy környezetvédelmi érdekekkel van összefüggésben, és a tájékoztatás vagy hozzájárulás beszerzése az érintettek nagy száma miatt aránytalanul sok időt, költséget és emberi munkát igényelne. A tájékoztatás, illetőleg a hozzájárulás beszerzése mellőzésének jogszerűségéért az adatigénylő felelős.

10. § A cselekvőképtelen vagy korlátozottan cselekvőképes személy esetén a tájékoztatást a törvényes képviselő részére kell megadni, aki gyakorolja az érintettet megillető nyilatkozattételi jogokat is.

11. § Külföldi tudományos kutató, ha e törvény hatálya alá tartozó adatkezelést kíván végezni, illetőleg, ha a belföldi tudományos kutató a tevékenységét külföldi megbízás alapján végzi, erről a tényről az érintettet köteles írásban tájékoztatni. Külföldre csak anonimizált adat továbbítható, kivéve, ha az érintett az adatai átadásához írásban hozzájárult.

III.

A közvélemény-kutatási és piackutatási célú adatkezelés

12. § (1) A közvélemény-kutatás, illetőleg a piackutatás (a továbbiakban együtt: közvélemény-kutatás) megkezdése előtt a közvélemény-kutató, illetőleg piackutató szervnek (a továbbiakban együtt: közvélemény-kutató szerv) az adatkezelés folyamatának nyomon követése érdekében kutatási adatkezelési tervet kell készítenie, melynek tartalmaznia kell a 7. § (1) bekezdésében meghatározott információkat.

(2) A közvélemény-kutatás megkezdéséhez a név- és lakcímadatok csak a 3. § (1) bekezdésében meghatározott forrásból vehetők át.

13. § (1) A közvélemény-kutató szerv a 12. § alapján megszerzett vagy rendelkezésre álló név- és lakcímadatokat a kapcsolatfelvételen kívül egyéb célra csak az érintett írásbeli hozzájárulásával használhatja fel.

(2) Ha a közvélemény-kutató szerv és az érintett között kapcsolat jön létre, a kapcsolatfelvétel után haladéktalanul a név- és lakcímadatokat a közvélemény-kutatás egyéb adataitól le kell választani, azt elkülönítetten kell tárolni, és biztosítani kell, hogy a közvélemény-kutatással érintett személye ne legyen azonosítható. A név- és lakcímadatok ismételt kapcsolatfelvételre csak akkor használhatók fel, ha az érintett a folyamatos kapcsolattartáshoz vagy az ismételt kapcsolatfelvételhez írásban hozzájárul. Az érintett név- és lakcímadatait, valamint egyéb személyes adatait és az általa nyújtott információkat csak akkor lehet együttesen feldolgozni, illetőleg tárolni, ha az érintett ehhez írásban külön és kifejezetten hozzájárult.

(3) A (2) bekezdés alapján elkülönítetten tárolt név- és lakcímadatok feldolgozására olyan technikai módszert kell kialakítani, amely lehetetlenné teszi a megkérdezett válaszainak a név- és lakcímadataival történő összekapcsolását.

(4) A (2) bekezdés szerinti név- és lakcímadatok kezelését az érintett ilyen irányú kérelme alapján haladéktalanul, ennek hiányában a közvélemény-kutatási tevékenység megszüntetésével egyidejűleg, illetőleg a folyamatos kapcsolattartás befejezésekor - az 5. § (4) bekezdése szerint eljárva - kell megszüntetni.

14. § (1) A közvélemény-kutatás során adott válaszok feldolgozásának minden szakaszában biztosítani kell a megkérdezett személy teljes anonimitását, valamint a véleményadás önkéntességét.

(2) A közvélemény-kutatás eredményeként kialakított következtetésben nem szerepelhet az érintett azonosítására alkalmas adat.

(3) A közvélemény-kutatás során az érintett személyes adatai, illetőleg véleménye alapján nem lehet olyan intézkedést tenni, döntést hozni, vagy következtetést levonni, amely a személyére vonatkozik vagy azt érinti.

15. § A közvélemény-kutató szerv az érintettek személyiségi jogairól, a személyes adatok védelméről és az adatvédelmi követelmények megszegésének jogkövetkezményeiről köteles a megbízásából eljáró személyeket megfelelően kioktatni. A személyes adatok védelméért a közvélemény-kutató szerv a felelős.

16. § (1) Külföldi közvélemény-kutató szerv vagy személy, ha e törvény hatálya alá tartozó adatkezelést kíván végezni, illetőleg, ha a belföldi közvélemény-kutató szerv vagy személy tevékenységét külföldi megbízás alapján végzi, erről a tényről az érintettet köteles írásban tájékoztatni. Külföldre csak olyan feldolgozott információ továbbítható, amelyből az érintett személyére nem lehet következtetni, kivéve, ha az érintett az adatai átadásához írásban hozzájárult.

(2) A piackutatás céljára gyűjtött adatok nem adhatók át közvetlen üzletszerzés céljára.

IV.

A közvetlen üzletszerzési célú adatkezelés

17. § (1) A közvetlen üzletszerző szerv a jogszerű tevékenységének végzéséhez szükséges listák összeállításához a név- és lakcímadatokat csak a 3. § (1) bekezdésében meghatározott forrásból vehet át, és az e törvényben előírt feltételek teljesítése esetén gyűjthet.

(2) A 3. § (1) bekezdés a) pontja tekintetében üzletfélnek vagy támogatónak az tekinthető, aki akaratlagos cselekedetével - a termékekre vagy szolgáltatásokra vonatkozóan információkat kérve, vagy nyilvános hirdetésre válaszolva - a maga részéről is kapcsolatokat kezdeményezett és ennek során név- és lakcímadatait az adatkezelő közvetlen üzletszerző szervnek átadta.

(3) A nem kereskedelmi célú versenyek és rejtvénypályázatok szervezése esetén az abban részt vevő személyek által átadott adatok csak akkor használhatók fel üzletszerzési lista összeállításához, ha az érintettek figyelmét felhívták arra, hogy adataikat közvetlen üzletszerzés céljára is fel kívánják használni, és ehhez írásban hozzájárultak.

18. § (1) Az üzletszerzési listán szereplő név- és lakcímadatok harmadik személy részére - a 3. § (1) bekezdésének c) pontja kivételével - közvetlen üzletszerzés céljára, illetőleg egyéb célból akkor adhatók át, ha ehhez az érintettek a harmadik szerv nevének és tevékenységének ismeretében írásban hozzájárultak.

(2) Adatátadás esetén az üzletszerzési lista felhasználásának feltételeit az adatátadó és az adatátvevő szerződésben határozza meg. Az (1) bekezdésben előírt feltételek hiányában megkötött szerződés semmis.

(3) A közvetlen üzletszerzési lista nem kapcsolható össze piackutatás céljára gyűjtött adatállománnyal.

19. § Külföldi közvetlen üzletszerző szerv, ha e törvény hatálya alá tartozó adatkezelést kíván végezni, illetőleg, ha a belföldi közvetlen üzletszerző szerv a tevékenységét külföldi megbízás alapján végzi, erről a tényről az érintettet köteles írásban tájékoztatni. Név- és lakcímadat külföldre csak adatfeldolgozás céljára, vagy abban az esetben továbbítható, ha az adat átadásához az érintett írásban hozzájárult; és csak abban az esetben, ha az adatvédelmi követelmények az adatátvevőnél is biztosítottak. A külföldre történő adatátadást az adatvédelmi biztosnak előzetesen be kell jelenteni.

Az érintett jogai

20. § (1) Minden érintettnek joga van arra, hogy

a) megtagadja vagy megtiltsa név- és lakcímadatainak az üzletszerzési listára való felvételét, közvetlen üzletszerzési - illetőleg azon belül meghatározott konkrét - célra történő felhasználását, illetőleg harmadik személynek átadását;

b) kérje személyes adatainak az adatkezelő birtokában lévő valamennyi vagy meghatározott célú üzletszerzési listán történő kezelésének megszüntetését, beleértve a harmadik személy részére átadott adatokat is. Az adatkezelő köteles írásban tájékoztatni az érintettet kérésének teljesítéséről.

(2) Az érintettet kérelmére az adatkezelést végző közvetlen üzletszerző szerv köteles az általa kezelt adatairól írásban tájékoztatni, illetőleg azokat helyesbíteni. A harmadik személy részére átadott adatok helyesbítését vagy törlését - a hat hónapon belül továbbított adatok vonatkozásában - az érintett kérelmére az adatátadó szerv köteles kezdeményezni.

(3) Az e törvény alapján adatkezelést végző közvetlen üzletszerző szervek kötelesek azonosító adataikat (név/cégnév, lakcím/telephely) megfelelő módon mindazon személyek tudomására hozni, akiknek név- és lakcímadatai az üzletszerzési listán szerepelnek, illetőleg, akiket arra fel kívánnak venni.