Adatkezelési és adatvédelmi szabályzat
MURMO Szakpszichológiai és Művészetterápiás Központ
1031 Budapest, Győri út 2/c
MURMO KÖZÖS ADATKEZELÉSI ÉS ADATVÉDELMI SZABÁLYZAT
Verziószám: 2026/1.
Hatályos: 2026. 09. 01-től
1. A szabályzat célja és hatálya
Jelen Szabályzat a MURMO Szakpszichológiai és Művészetterápiás Központ keretében működő OPTIMUM-2000 Kft. és a MURMO szakmai együttműködéséhez csatlakozó önálló szolgáltatók közös adatvédelmi és adatbiztonsági minimumszabályait rögzíti. A Szabályzat célja, hogy a több önálló adatkezelő együttműködése mellett biztosítsa az adatkezelési szerepek, hozzáférések, információáramlás és felelősségek világos elhatárolását.
A Szabályzat nem teszi az OPTIMUM-2000 Kft.-t valamennyi kliensadat kizárólagos adatkezelőjévé, és nem teszi az önálló szolgáltatókat adatfeldolgozóvá pusztán azért, mert MURMO-infrastruktúrát vagy közös szakmai protokollokat használnak. Az adatkezelői minőséget minden adatkezelési művelet tényleges célja, eszközei és döntési kompetenciái alapján kell megítélni.
A Szabályzat hatálya kiterjed az OPTIMUM-2000 Kft. MURMO-hoz kapcsolódó munkatársaira, a szakmai együttműködésben részt vevő önálló szolgáltatókra, azok e feladatra bevont személyeire, valamint az önkéntesekre, gyakornokokra és rezidensekre annyiban, amennyiben személyes adathoz hozzáférhetnek.
2. Alapfogalmak és adatkezelési szerepek
- Önálló adatkezelő: az a MURMO-szolgáltató, aki saját nevében, saját szakmai felelősségi körében határozza meg a saját ellátásához kapcsolódó adatkezelés célját és lényeges eszközeit.
- OPTIMUM-2000 Kft.: a MURMO központi szervezési, infrastruktúra- és adminisztratív feladatainak működtetője; saját adatkezelései tekintetében adatkezelő.
- Közös adatkezelők: azok az adatkezelők, akik valamely konkrét művelet célját és lényeges eszközeit ténylegesen közösen határozzák meg. A közös adatkezelői minőség műveletspecifikus.
- Adatfeldolgozó: kizárólag az adatkezelő nevében, dokumentált utasítás alapján eljáró személy vagy szervezet, aki az adatkezelés céljáról nem dönt önállóan.
- Feljogosított személy: aki konkrét feladata alapján, a szükséges ismeret elvének megfelelően hozzáférhet meghatározott adatokhoz.
- Kiterjesztett titoktartás: szakmai együttműködési elv; önmagában nem jogalap és nem általános hozzáférési jogosultság.
3. A szerepek elhatárolása
3.1. A konkrét szakmai ellátást saját nevében nyújtó Partner saját ellátásának adatkezelője, ideértve a szakmai dokumentáció tartalmára, szükségességére és megőrzésére vonatkozó saját kötelezettségeket.
3.2. Az OPTIMUM önálló adatkezelő különösen a központi jelentkezési csatorna működtetése, alap adminisztratív érkeztetés, helyiség- és infrastruktúrahasználati szerződések, saját számlázás, hozzáférés-adminisztráció, működési biztonság és szervezeti kapcsolattartás körében.
3.3. Közös adatkezelés különösen akkor merülhet fel, ha az OPTIMUM és az érintett szolgáltató(k) a központi érkeztetéshez kapcsolódó esetkoordináció, több szolgáltató összehangolt ellátása, közös esetmegbeszélés vagy közös dokumentáció valamely elemének célját és lényeges eszközeit együtt határozzák meg.
3.4. Nem közös adatkezelés pusztán az, hogy két szolgáltató ugyanazt a klienst egymást követően vagy párhuzamosan ellátja, ha a saját adatkezelési céljaikról és eszközeikről önállóan döntenek; köztük ilyenkor adattovábbítás történhet megfelelő jogalap mellett.
4. Adatkezelési alapelvek
- jogszerűség, tisztességes eljárás és átláthatóság;
- célhoz kötöttség és adattakarékosság;
- pontosság és naprakészség;
- korlátozott tárolhatóság;
- integritás és bizalmas jelleg;
- elszámoltathatóság;
- szükséges ismeret (need-to-know): adat csak annak adható, akinek konkrét feladatához szükséges;
a szakmai együttműködés és a teamtagság nem írhatja felül a fenti elveket.
5. Jogalapok
5.1. Egészségügyi ellátás esetén az általános személyes adatok kezelésének jogalapja tipikusan a szolgáltatási jogviszony teljesítése és jogszabályi kötelezettség; egészségügyi/különleges adatoknál a GDPR 9. cikk (2) h) pontja és a magyar egészségügyi adatkezelési szabályok alkalmazandók.
5.2. Nem egészségügyi tanácsadás, tréning vagy más szolgáltatás esetén a 6. cikk szerinti jogalap elsősorban a szerződés teljesítése; ha a szolgáltatáshoz különleges adat kezelése szükséges és más 9. cikk szerinti feltétel nem alkalmazható, kifejezett hozzájárulás szükséges.
5.3. Hozzájárulást csak olyan adatkezeléshez kell és szabad kérni, amelynél ténylegesen ez a jogalap. A szolgáltatás nem tehető olyan opcionális adatkezelési hozzájárulás feltételévé, amely a szolgáltatáshoz nem szükséges.
5.4. Számlázás, könyvelés, panaszkezelés, hatósági adatszolgáltatás és jogi igényérvényesítés esetén a vonatkozó szerződéses, jogi kötelezettségi, jogos érdeki vagy jogi igényérvényesítési jogalap alkalmazandó.
6. Központi érkeztetés és esetkoordináció
6.1. A központi jelentkezési csatornán csak az elsődleges érkeztetéshez és a megfelelő szakember/szolgáltató megtalálásához szükséges adat kérhető.
6.2. A jelentkezés során kapott információt az adminisztratív munkatárs csak a szakemberválasztáshoz szükséges körben továbbíthatja; teljes klinikai előzmény vagy dokumentáció nem osztható meg pusztán az esetkeresés céljából.
6.3. A javasolt szakember az esetet saját kompetenciája és kapacitása alapján vállalja. Az esetvállalás után az érintettet egyértelműen tájékoztatni kell az ellátó szolgáltató adatkezelői személyéről.
6.4. Ha a kliens közvetlenül egy Partnernél jelentkezik, a Partner csak olyan adatot továbbíthat központi adminisztrációra, amely a szervezési feladathoz valóban szükséges és amelynek továbbítására megfelelő jogalap áll fenn.
7. Szakmai egyeztetés, esetmegbeszélés és továbbirányítás
7.1. Szakmai egyeztetésbe csak az adott eset ellátásában, konzultációjában vagy jogszerű döntés-előkészítésében ténylegesen részt vevő személy vonható be.
7.2. Team-megbeszélésen az eset azonosítható adatainak ismertetése csak akkor megengedett, ha ez az egyeztetés céljához szükséges és megfelelő jogalap áll fenn; egyébként anonimizált vagy a lehető legkisebb azonosíthatóságú ismertetést kell alkalmazni.
7.3. Más önálló szolgáltató bevonása új adatkezelő megjelenését eredményezheti; az érintett tájékoztatását és az adattovábbítás jogalapját rendezni kell.
7.4. Külső szakember ajánlása önmagában nem alapozza meg kliensadat továbbítását. Ha a család maga veszi fel a kapcsolatot a külső szakemberrel, főszabály szerint a dokumentációt is ő továbbítja.
7.5. Sürgős, jogszabályi jelzési vagy beavatkozási kötelezettség teljesítését belső szakmai egyeztetés nem késleltetheti és nem teheti más vezető jóváhagyásától függővé.
8. Hozzáférés-kezelés
8.1. A hozzáférési jogosultság személyhez és feladathoz kötött. Nincs általános „teamtagi hozzáférési szint”.
8.2. Minden közös e-mail-, Drive-, naptár- vagy más felület esetén meg kell határozni, hogy ki, milyen célból, milyen adatkörhöz fér hozzá.
8.3. Új hozzáférést az OPTIMUM vagy az adott rendszer kijelölt adminisztrátora csak a szakmai/operatív feladat igazolt szükségessége alapján adhat.
8.4. A hozzáférést a feladat megszűnésekor vagy a MURMO-együttműködésből való kilépéskor indokolatlan késedelem nélkül meg kell szüntetni.
8.5. Közös postafiókhoz csak az arra kijelölt személyek férhetnek hozzá; a postafiók nem használható minden szakmai dokumentum automatikus gyűjtőhelyeként.
9. Informatikai és fizikai adatbiztonsági minimumok
- egyedi felhasználói fiók és erős, más szolgáltatásban nem használt jelszó;
- ahol elérhető, többtényezős hitelesítés;
- képernyőzár, eszköztitkosítás és naprakész operációs rendszer/vírusvédelem, amennyiben az eszköz személyes adatot kezel;
- kliensadat magán e-mailben vagy ellenőrizetlen felhőben csak kivételesen, dokumentált szükségességgel; főszabály szerint a kijelölt MURMO/üzleti csatorna használata;
- egészségügyi dokumentum e-mailes továbbításánál címzett-ellenőrzés; indokolt esetben jelszóval védett dokumentum és külön csatornás jelszóközlés;
- USB/adathordozó csak szükség esetén, lehetőleg titkosítva;
- papírirat használat után zárt szekrényben vagy más illetéktelen hozzáférést kizáró helyen;
- nyomtatott irat, jegyzet vagy tesztanyag közös helyiségben őrizetlenül nem maradhat;
- selejtezés csak helyreállíthatatlan megsemmisítéssel.
10. Dokumentáció és megőrzés
10.1. Minden adatkezelő a saját szakmai és jogszabályi dokumentációs kötelezettségéért felel.
10.2. Az egészségügyi dokumentációt a rá irányadó jogszabályi megőrzési idő szerint kell kezelni; az egyes dokumentumtípusok eltérő megőrzési idejét az adatkezelési nyilvántartásban kell rögzíteni.
10.3. Nem egészségügyi szolgáltatás dokumentációja csak a szolgáltatás, az elszámoltathatóság és az esetleges jogi igények érvényesíthetőségéhez szükséges ideig őrizhető.
10.4. A közös rendszer nem mentesíti az önálló adatkezelőt saját kötelező dokumentációja alól, de szükségtelen párhuzamos másolatot nem szabad létrehozni.
10.5. A megőrzési idő lejártakor az adatot törölni vagy megsemmisíteni kell, kivéve, ha új jogalap vagy jogszabályi megőrzési kötelezettség áll fenn.
11. Elektronikus kommunikáció és szakvélemények átadása
11.1. Elektronikus szakvélemény kizárólag az érintett/törvényes képviselő által megadott, ellenőrzött címre küldhető.
11.2. A központi murmomail@murmo.hu cím automatikus CC-zése nem megengedett pusztán belső rutinból. Másolat csak dokumentált cél, megfelelő jogalap és az adattakarékosság követelménye mellett küldhető.
11.3. Ha az átadás tényének dokumentálása szükséges, elsődlegesen az ehhez szükséges minimális adatot kell rögzíteni; a teljes szakvélemény központi másolása csak akkor indokolt, ha annak önálló adatkezelési célja és jogalapja van.
11.4. Téves címzés vagy jogosulatlan címzett esetén az eseményt adatvédelmi incidens gyanújaként kell kezelni.
12. Adatfeldolgozók
12.1. Minden önálló adatkezelő saját adatfeldolgozóiért és a GDPR 28. cikke szerinti szerződéses feltételek biztosításáért felel.
12.2. Az OPTIMUM az általa működtetett közös infrastruktúrához kapcsolódó adatfeldolgozókat saját nyilvántartásában tartja nyilván.
12.3. A MURMO-tagok könyvelői nem válnak a MURMO egészének adatfeldolgozóivá; csak az őket megbízó adatkezelő nevében járnak el.
13. Érintetti jogok és kérelmek
13.1. Az érintett kérelmét annál az adatkezelőnél kell elsődlegesen teljesíteni, amely a kérelemmel érintett adatot kezeli.
13.2. Közös adatkezeléshez kapcsolódó kérelem bármely közös adatkezelőhöz benyújtható. A kérelmet kézhez vevő fél haladéktalanul értesíti a többi érintett adatkezelőt és koordinálja a határidős teljesítést.
13.3. Általános kapcsolattartási pont: murmomail@murmo.hu. A kapcsolattartási pont nem jogosult olyan adatot kiadni, amelynek kiadására az OPTIMUM nem adatkezelő és nem rendelkezik megfelelő hozzáféréssel/jogalappal.
13.4. A közös adatkezelők egymás közötti feladat- és felelősségmegosztása nem korlátozza az érintettek GDPR alapján fennálló jogait. Minden adatkezelő felel az általa önállóan végzett adatkezelési műveletek jogszerűségéért, továbbá a közös adatkezelés körében azoknak a kötelezettségeknek a teljesítéséért, amelyek a jelen Szabályzat, a MURMO szakmai együttműködési, infrastruktúra- és helyiséghasználati keretszerződése, illetve az adott adatkezelési művelet tényleges körülményei alapján rá hárulnak.
14. Adatvédelmi incidens
14.1. Aki adatvédelmi incidenst vagy annak gyanúját észleli, haladéktalanul jelzi az érintett adatkezelőnek és – ha közös infrastruktúrát vagy több szolgáltatót érint – az OPTIMUM kijelölt adatvédelmi kapcsolattartójának.
14.2. A bejelentésnek lehetőség szerint tartalmaznia kell: az esemény idejét, érintett rendszert/adatkört, érintettek becsült körét, megtett azonnali intézkedéseket és a kapcsolattartó adatait.
14.3. Az érintett adatkezelő(k) dokumentált kockázatértékelést végeznek és eldöntik, szükséges-e hatósági vagy érintetti értesítés. Több adatkezelőt érintő incidensnél együttműködnek.
14.4. Az incidensekről és az intézkedésekről nyilvántartást kell vezetni.
15. Adatvédelmi hatásvizsgálat és adatvédelmi tisztviselő
15.1. A korábbi szabályzatban szereplő általános megállapítás, amely szerint adatvédelmi hatásvizsgálat nem szükséges, nem alkalmazható automatikusan a teljes MURMO-rendszerre. Új vagy lényegesen módosuló, különleges adatok nagyobb körét, új technológiát, rendszeres megfigyelést vagy más magas kockázati tényezőt érintő adatkezelés bevezetése előtt DPIA-szükségességi vizsgálatot kell végezni.
15.2. Az adatvédelmi tisztviselő kijelölésének szükségességét a GDPR 37. cikke szerinti feltételek alapján, a MURMO tényleges adatkezelési volumenére és a különleges adatok kezelésének jellegére tekintettel időszakosan felül kell vizsgálni. A jelen Szabályzat önmagában nem állapítja meg sem a kötelezettség fennállását, sem annak hiányát.
15.3. DPO kijelölésétől függetlenül az OPTIMUM a közös rendszer működtetéséhez adatvédelmi koordinációs kapcsolattartási pontot tart fenn: murmomail@murmo.hu.
16. Belépés, képzés, titoktartás
16.1. A MURMO-együttműködésbe belépő Partner a tevékenység megkezdése előtt megismeri a jelen Szabályzatot, az érintetti tájékoztatót, a hozzáférési rendet és a rá irányadó szakmai-adatvédelmi protokollokat.
16.2. A Partner és minden hozzáférő személy titoktartási kötelezettséget vállal; a titoktartás a jogviszony megszűnése után is fennmarad.
16.3. Önkéntes, gyakornok vagy rezidens csak konkrét feladat, megfelelő szakmai felügyelet és a szükséges adatkezelési feltételek mellett férhet hozzá adathoz.
17. Kilépés és megszűnés
17.1. A MURMO-együttműködés megszűnésekor a közös rendszerhez és MURMO-postafiókokhoz adott hozzáférést meg kell szüntetni.
17.2. A kilépés nem szünteti meg a Partner saját adatkezelői minőségéből eredő megőrzési, dokumentációs és titoktartási kötelezettségeit.
17.3. Folyamatban lévő ellátásnál a kliens választási szabadsága, az ellátás folytonossága és a jogszerű adattovábbítás követelményei szerint kell eljárni; kliens vagy teljes dokumentáció automatikus „átadása” nem alkalmazható.
17.4. A közös rendszerből származó, saját kötelező megőrzéshez nem szükséges másolatokat a kilépő fél törli vagy megsemmisíti.
18. Adatkezelési nyilvántartás
Az OPTIMUM és minden önálló szolgáltató saját adatkezelési tevékenységeiről a GDPR 30. cikkének megfelelő nyilvántartást vezet, amennyiben arra köteles. A közös adatkezelési műveleteket a résztvevő adatkezelők nyilvántartásában azonosítható módon kell megjeleníteni. A nyilvántartás legalább az adatkezelés célját, érintetti és adatkategóriákat, címzetteket, megőrzési időt/annak szempontjait és a fő biztonsági intézkedéseket tartalmazza.
19. Hatály, felülvizsgálat és dokumentumhierarchia
19.1. A jelen Szabályzat a MURMO közös adatvédelmi kerete. Az egyes önálló adatkezelők saját, csak rájuk vonatkozó adatfeldolgozói, számviteli vagy más adatkezelési részleteiket saját nyilvántartásukban és szükség esetén saját kiegészítő szabályzatukban rendezik.
19.2. A szakmai protokoll, munkaköri/feladatköri leírás vagy folyamatábra önmagában nem teremt adatkezelési vagy hozzáférési jogosultságot. E dokumentumok adatkezelési rendelkezései a jelen Szabályzattal összhangban értelmezendők.
19.3. A Szabályzatot legalább évente, továbbá lényeges szervezeti, technikai vagy jogszabályi változás esetén soron kívül felül kell vizsgálni.