Az adatkezelés alapja lehet:
a. Hozzájárulás
Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli -ideértve az elektronikus úton tett -, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez.
A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni.
Az érintett jogosult arra, hogy hozzájárulását bármikor visszavonja. A hozzájárulás visszavonása nem érinti a hozzájáruláson alapuló, a visszavonás előtti adatkezelés jogszerűségét. A hozzájárulás megadása előtt az érintettet erről tájékoztatni kell. A hozzájárulás visszavonását ugyanolyan egyszerű módon kell lehetővé tenni, mint annak megadását.
Un. szenzitív személyes adatok (a továbbiakban: különleges adatok) esetén, melynek kezelése hozzájáruláson alapul, csak és kizárólag az érintett írásbeli, egyértelműen kifejezett akaratot tartalmazó nyilatkozatát fogadja el hozzájárulásként az Adatkezelő.
A mindennapi élet un. kisebb jelentőségű ügyleteiben, illetve az ügyintézés megkönnyítése és meggyorsítása céljából az Adatkezelő az érintett kifejezett hozzájárulásának értékeli a személyes adatok önként történő megadását. Ilyen pl: telefonszám, e-mail cím megadása kapcsolattartási adatként; vagy a magánhasználatú e-mail címről történő kapcsolatfelvétel.
A gyermek hozzájárulására vonatkozó feltételek:
A közvetlenül gyermekeknek kínált, információs társadalommal összefüggő szolgáltatások vonatkozásában végzett személyes adatok kezelése akkor jogszerű, ha a gyermek a 16. életévét betöltötte. A 16. életévét be nem töltött gyermek esetén, a gyermekek személyes adatainak kezelése csak akkor és olyan mértékben jogszerű, ha a hozzájárulást a gyermek feletti törvényes képviseleti jogkört gyakorló személy adta meg, illetve engedélyezte.
b. Szerződés teljesítéséhez szükséges adatkezelés
Az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges.
c. Jogi kötelezettség teljesítéséhez szükséges adatkezelés
Az adatkezelés az Adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges.
Ha az adatkezelésre az Adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. A hatályos rendelkezések alapján elegendő azonban, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az Adatkezelőre vonatkozó jogi kötelezettségen alapul, illetve amelyre közérdekből végzett feladat ellátásához vagy közhatalmi jogosítvány gyakorlásához van szükség.
Különleges adatok esetében az adatkezelés feltétele továbbá az is, hogy az Adatkezelőnek vagy az érintettnek a foglalkoztatást, valamint a szociális biztonságot és szociális védelmet szabályozó jogi előírásokból fakadó kötelezettségei teljesítése, konkrét jogai gyakorlása érdekében legyen szükséges, úgy, hogy ezt az érintett alapvető jogait és érdekeit védő megfelelő garanciákról is rendelkező uniós vagy tagállami jog, illetve a tagállami jog szerinti kollektív szerződés ezt lehetővé teszi.
d. Létfontosságú érdekből történő adatkezelés
A személyes adatok továbbítása jogszerűnek tekintendő, ha olyan érdek védelméhez szükséges, amely az érintett vagy valamely más személy létfontosságú érdekeinek – köztük testi épségének vagy életének – védelme szempontjából bír alapvető fontossággal, és az érintettnek nem áll módjában hozzájárulását megadni.
Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető. A személyes adatkezelés néhány típusa szolgálhat egyszerre fontos közérdeket (Lsd. 3. e. pont) és az érintett létfontosságú érdekeit is, például olyan esetben, amikor az adatkezelésre humanitárius okokból, ideértve, ha arra a járványok és terjedéseik nyomon követéséhez, vagy humanitárius vészhelyzetben, különösen természeti vagy ember által okozott katasztrófák esetében van szükség.
e. Közérdekű adatkezelés
A népegészség területén közérdekből szükséges lehet a személyes adatok különleges kategóriáinak az érintett hozzájárulása nélkül történő kezelése. A népegészség fogalmát az alábbiak szerit kell értelmezni: valamennyi, az egészséggel kapcsolatos elem, nevezetesen az egészségi állapot -beleértve a morbiditást és a fogyatékosságot -, az egészségi állapotot meghatározó tényezők, az egészségügyi ellátással kapcsolatos igények, az egészségügyi ellátásra biztosított források, az egészségügyi ellátás nyújtása és az ahhoz való általános hozzáférés, valamint az egészségügyi ellátással kapcsolatos kiadások és finanszírozás, továbbá a halálokok.
Uniós vagy tagállami jogban megállapított fontos közérdek védelmében a személyes adatok továbbítása szükséges. Ilyen fontos közérdek például: adó- és vámhatóságok, pénzügyi felügyeleti hatóságok vagy a társadalombiztosítási ügyekért vagy a népegészségügyért felelős hivatalok közötti nemzetközi adatcsere, a fertőző betegségek felmerülésének esetekor a fertőzöttekkel való érintkezések nyomon követése érdekében szükséges adattovábbítások.
Adatkezelés közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból is lehet szükséges uniós vagy tagállami jog alapján, amely arányos az elérni kívánt céllal, tiszteletben tartja a személyes adatok védelméhez való jog lényeges tartalmát, és az érintett alapvető jogainak és érdekeinek biztosítására megfelelő és konkrét intézkedéseket ír elő.
f. Un. jogos érdek alapján végzett adatkezelés
Az Adatkezelő – ideértve azt az adatkezelőt is, akivel a személyes adatokat közölhetik – vagy valamely harmadik fél jogos érdeke jogalapot teremthet az adatkezelésre, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget, figyelembe véve az adatkezelővel való kapcsolata alapján az érintett észszerű elvárásait. Az ilyen jogos érdekről lehet szó például olyankor, amikor releváns és megfelelő kapcsolat áll fenn az érintett és az Adatkezelő között, például olyan esetekben, amikor az érintett az Adatkezelő alkalmazásában áll. Az Adatkezelő jogos érdekének tekintendő továbbá az is, ha jelzi a lehetséges bűncselekményeket vagy a közbiztonságot fenyegető veszélyeket, és az ugyanazon bűncselekményhez vagy közbiztonságot fenyegető veszélyhez kapcsolódó releváns személyes adatokat egyedi esetekben vagy több különálló esetben továbbítja az illetékes hatóságnak.
Un. jogos érdek alapján végzett adatkezelés valamint, ha az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez legyen szükséges, vagy amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el.
Az emberi élet, testi épség, személyi szabadság védelme, a veszélyes anyagok őrzése, vagyonvédelem céljából; jogi személyt megillető személyiségi jogok védelmében is adatkezelés valósulhat meg, amennyiben az Adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez ez szükséges.
Az Adatkezelő szolgáltató tevékenysége során a működéséhez kapcsolódó be-, lejelentések el(ő)készítése érdekében készített összesítések, táblázatok, kivonatok is tartalmazhatnak személyes adatokat, melyek kezelésének jogalapját a jogos érdek adja.
