1. Résumé des droits de la personne concernée :

a. Information transparente, communication et facilitation de l’exercice des droits ;

b. Droit à l’information préalable lorsque les données sont collectées auprès de la personne concernée ;

c. Droit à l’information lorsque les données ne sont pas collectées auprès de la personne concernée ;

d. Droit d’accès ;

e. Droit de rectification ;

f. Droit à l’effacement (« droit à l’oubli ») ;

g. Droit à la limitation du traitement ;

h. Obligation de notification relative à la rectification, à l’effacement ou à la limitation ;

i. Droit à la portabilité des données ;

j. Droit d’opposition ;

k. Décision individuelle automatisée, y compris le profilage ;

l. Restrictions ;

m. Notification des violations de données personnelles ;

n. Droit de déposer une plainte auprès d’une autorité de contrôle ;

o. Droit à un recours juridictionnel effectif contre une autorité de contrôle ;

p. Droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant.

Transparence de l'information, communication et facilitation de l'exercice des droits de la personne concernée

2. Le responsable du traitement fournit à la personne concernée toutes les informations relatives au traitement des données à caractère personnel de manière concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier dans le cas d'informations adressées spécifiquement à des enfants. Les informations sont fournies par écrit ou par tout autre moyen, y compris, si approprié, par voie électronique. À la demande de la personne concernée, les informations peuvent également être fournies oralement, à condition que l'identité de la personne concernée ait été vérifiée par d'autres moyens.

3. Le responsable du traitement doit faciliter l'exercice des droits de la personne concernée.

4. Le responsable du traitement informe la personne concernée, sans retard injustifié et au plus tard dans un délai d’un mois à compter de la réception de la demande, des mesures prises à la suite d’une demande d’exercice d’un droit. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation dans un délai d’un mois à compter de la réception de la demande, en indiquant les raisons du report.

5. Si le responsable du traitement ne donne pas suite à la demande de la personne concernée, il en informe celle-ci sans retard injustifié et au plus tard dans un délai d’un mois à compter de la réception de la demande, des raisons de son inaction, et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et d’intenter une action en justice.

6. Les informations et toutes communications dans le cadre de l’exercice des droits de la personne concernée sont fournies gratuitement. Toutefois, si les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut exiger le paiement de frais raisonnables tenant compte des coûts administratifs ou refuser de donner suite à ces demandes.

7. Les règles détaillées sont énoncées à l’article 12 du Règlement.

Droit à l'information préalable – lorsque les données personnelles sont collectées auprès de la personne concernée

8. La personne concernée a le droit d’être informée des faits et des informations relatifs au traitement des données avant le début du traitement. À ce titre, elle doit être informée :

a. de l’identité et des coordonnées du responsable du traitement et, le cas échéant, de son représentant ;

b. des coordonnées du délégué à la protection des données, s’il y en a un ;

c. de la finalité du traitement envisagé des données à caractère personnel ainsi que de la base juridique du traitement ;

d. dans le cas d’un traitement fondé sur l’intérêt légitime, des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

e. des destinataires ou des catégories de destinataires des données à caractère personnel, le cas échéant ;

f. le cas échéant, de l’intention du responsable du traitement d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale.

9. Pour garantir un traitement loyal et transparent, le responsable du traitement doit fournir à la personne concernée les informations complémentaires suivantes :

a. la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

b. l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, leur rectification ou leur effacement, ou une limitation du traitement, ou le droit de s’opposer au traitement, ainsi que le droit à la portabilité des données ;

c. lorsque le traitement est fondé sur le consentement de la personne concernée, l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;

d. le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

e. si la communication de données à caractère personnel est une obligation légale ou contractuelle ou une condition nécessaire à la conclusion d’un contrat, ainsi que si la personne concernée est tenue de fournir les données à caractère personnel et des conséquences éventuelles du défaut de fourniture de ces données ;

f. l’existence d’une prise de décision automatisée, y compris le profilage, et, au moins dans de tels cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

10. Lorsque le responsable du traitement envisage de traiter ultérieurement les données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, il doit fournir à la personne concernée, avant ce traitement ultérieur, des informations au sujet de cette autre finalité et toute autre information pertinente mentionnée ci-dessus.

11. Les règles détaillées relatives au droit à l’information préalable sont définies à l’article 13 du Règlement.

Droit à l’information lorsque les données ne sont pas collectées auprès de la personne concernée

12. Si les données à caractère personnel n’ont pas été obtenues directement auprès de la personne concernée, celle-ci doit être informée par le responsable du traitement, au plus tard dans un délai d’un mois après l’obtention des données ; ou, si les données sont utilisées pour entrer en contact avec la personne concernée, au plus tard lors du premier contact ; ou, s’il est prévu de les communiquer à d’autres destinataires, au plus tard lors de la première communication des données. Cette information inclut également les catégories de données concernées, leur origine, et si elles proviennent de sources accessibles au public.

13. Les dispositions visées au point précédent (droit à l’information préalable) sont applicables mutatis mutandis.

14. Les règles détaillées relatives à ce droit figurent à l’article 14 du Règlement

Droit d’accès

15. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées, et, lorsqu’elles le sont, l’accès auxdites données ainsi qu’aux informations visées aux articles 13 et 14 du Règlement.

16. Lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d’être informée des garanties appropriées en vertu de l’article 46 du Règlement.

17. Le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement. Pour toute copie supplémentaire demandée par la personne concernée, le responsable du traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs.

18. Les règles détaillées relatives au droit d’accès sont définies à l’article 15 du Règlement.

Droit de rectification

19. La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel inexactes la concernant.

20. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.

21. Les règles relatives à ce droit sont définies à l’article 16 du Règlement.

22. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant, et le responsable du traitement a l’obligation d’effacer ces données dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :

a. les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées ;

b. la personne concernée retire le consentement sur lequel est fondé le traitement et il n’existe pas d’autre fondement juridique au traitement ;

c. la personne concernée s’oppose au traitement et il n’existe pas de motif légitime impérieux pour le traitement ;

d. les données à caractère personnel ont fait l’objet d’un traitement illicite ;

e. les données doivent être effacées pour respecter une obligation légale prévue par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis ;

f. les données ont été collectées dans le cadre de l’offre de services de la société de l’information à des enfants.

23. Le droit à l’effacement ne s’applique pas dans la mesure où le traitement est nécessaire :

a. à l’exercice du droit à la liberté d’expression et d’information ;

b. pour respecter une obligation légale qui requiert le traitement ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

c. pour des raisons de santé publique d’intérêt public ;

d. à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit à l’effacement est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs de ce traitement ;

e. à la constatation, à l’exercice ou à la défense de droits en justice.

24. Les règles détaillées relatives au droit à l’effacement sont définies à l’article 17 du Règlement

Droit à la limitation du traitement

25. Lorsque le traitement est limité, les données à caractère personnel ne peuvent, à l’exception de leur conservation, être traitées qu’avec le consentement de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice, ou pour la protection des droits d’une autre personne physique ou morale, ou pour des motifs importants d’intérêt public de l’Union ou d’un État membre.

26. La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque :

a. l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données ;

b. le traitement est illicite et la personne concernée s’oppose à leur effacement et exige à la place la limitation de leur utilisation ;

c. le responsable du traitement n’a plus besoin des données à caractère personnel aux fins du traitement, mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ;

d. la personne concernée s’est opposée au traitement ; dans ce cas, la limitation s’applique pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.

27. Avant que la limitation du traitement ne soit levée, la personne concernée doit en être informée.

28. Les règles pertinentes sont énoncées à l’article 18 du Règlement

Obligation de notification relative à la rectification, à l’effacement ou à la limitation

29. Le responsable du traitement communique à chaque destinataire auquel les données à caractère personnel ont été divulguées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectuée conformément à l’article 16, à l’article 17, paragraphe 1, et à l’article 18 du Règlement, à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés. Le responsable du traitement informe la personne concernée au sujet de ces destinataires si celle-ci en fait la demande.

30. Ces règles sont énoncées à l’article 19 du Règlement.

Droit à la portabilité des données

31. Conformément aux conditions énoncées dans le Règlement, la personne concernée a le droit de recevoir les données à caractère personnel la concernant qu’elle a fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et a le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle, lorsque : a. le traitement est fondé sur le consentement ou sur un contrat ; et b. le traitement est effectué à l’aide de procédés automatisés.

32. La personne concernée a le droit d’obtenir que les données à caractère personnel soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible.

33. L’exercice du droit à la portabilité des données ne porte pas atteinte à l’article 17 du Règlement (droit à l’effacement). Ce droit ne s’applique pas au traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Ce droit ne doit pas porter atteinte aux droits et libertés de tiers.

34. Les règles détaillées relatives à ce droit figurent à l’article 20 du Règlement.

Droit d’opposition

35. La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.

36. Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. Si la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.

37. Ce droit doit être porté explicitement à l’attention de la personne concernée au plus tard au moment de la première communication avec celle-ci, et cette information doit être présentée clairement et séparément de toute autre information.

38. La personne concernée peut exercer son droit d’opposition par des moyens automatisés utilisant des spécifications techniques.

39. Lorsque les données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, la personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement des données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public.

Décision individuelle automatisée, y compris le profilage

40. La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire.

41. Ce droit ne s’applique pas lorsque la décision :

a. est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement ;

b. est autorisée par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis, qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ; ou

c. est fondée sur le consentement explicite de la personne concernée.

42. Dans les cas visés aux points a. et c., le responsable du traitement met en œuvre des mesures appropriées pour sauvegarder les droits et libertés ainsi que les intérêts légitimes de la personne concernée, au minimum le droit d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision.

43. Les règles détaillées relatives à ce droit figurent à l’article 22 du Règlement.

Restrictions

44. Le droit de l’Union ou le droit d’un État membre auquel le responsable du traitement ou le sous-traitant est soumis peut restreindre, par voie législative, la portée des droits et obligations (articles 12 à 22, article 34 et article 5) à condition que cette restriction respecte l’essence des droits et libertés fondamentaux.

45. Les conditions de ces restrictions sont énoncées à l’article 23 du Règlement.

Notification des violations de données personnelles

46. Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement la notifie à la personne concernée dans les meilleurs délais. Cette notification décrit, en termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins :

a. le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;

b. la description des conséquences probables de la violation de données à caractère personnel ;

c. la description des mesures prises ou envisagées par le responsable du traitement pour remédier à la violation, y compris, le cas échéant, les mesures prises pour en atténuer les éventuelles conséquences négatives

47. La notification à la personne concernée n’est pas requise si l’une des conditions suivantes est remplie :

a. le responsable du traitement a mis en œuvre les mesures techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel concernées par la violation, en particulier celles qui rendent les données incompréhensibles à toute personne non autorisée à y avoir accès, comme le chiffrement ;

b. le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées ne se matérialisera plus ;

c. cela exigerait des efforts disproportionnés. Dans ce cas, une communication publique ou une mesure similaire est utilisée à la place.

48. Les règles détaillées relatives à cette obligation figurent à l’article 34 du Règlement

Droit d’introduire une réclamation auprès d’une autorité de contrôle (recours administratif)

49. La personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu de l’infraction présumée, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du Règlement. L’autorité de contrôle saisie de la réclamation informe le plaignant de l’état d’avancement de la procédure et de l’issue de celle-ci, y compris de la possibilité d’un recours juridictionnel.

50. Ces règles sont définies à l’article 77 du Règlement.

Si la personne concernée estime que le traitement de ses données personnelles n’est pas conforme à la réglementation en vigueur, elle peut déposer une plainte auprès du responsable du traitement, ainsi qu’auprès de l’autorité de contrôle suivante :

Autorité Nationale de la Protection des Données et de la Liberté de l’Information (NAIH) Adresse : 1055 Budapest, Falk Miksa utca 9–11. Tél. : +36 1 391 1400 E-mail : ugyfelszolgalat@naih.hu Site internet : www.naih.hu

51. Les réclamations relatives aux pratiques de traitement de données de DMC peuvent également être adressées directement à : Duna Medical Center Kft. ; Adresse : 1095 Budapest, Lechner Ödön fasor 5.

Droit à un recours juridictionnel effectif contre une autorité de contrôle

1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit à un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle la concernant.

2. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a également le droit à un recours juridictionnel effectif si l’autorité de contrôle compétente ne traite pas une réclamation ou ne l’informe pas dans un délai de trois mois de l’état d’avancement ou de l’issue de la réclamation introduite.

3. Les procédures à l’encontre d’une autorité de contrôle doivent être introduites devant les juridictions de l’État membre où l’autorité de contrôle a son siège.

4. Lorsqu’une procédure est engagée contre une décision d’une autorité de contrôle ayant fait l’objet d’un avis ou d’une décision du Comité dans le cadre du mécanisme de cohérence, l’autorité de contrôle transmet cet avis ou cette décision à la juridiction concernée.

5. Ces règles sont définies à l’article 78 du Règlement.

Droit à un recours juridictionnel effectif contre un responsable du traitement ou un soustraitant

6. Sans préjudice de tout recours administratif ou extrajudiciaire disponible – y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle –, toute personne concernée a le droit à un recours juridictionnel effectif si elle estime que ses droits ont été violés à la suite d’un traitement de ses données personnelles non conforme au Règlement.

7. Les procédures contre un responsable du traitement ou un sous-traitant doivent être introduites devant les juridictions de l’État membre dans lequel le responsable du traitement ou le sous-traitant a un établissement. Une telle procédure peut également être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle, sauf si le responsable du traitement ou le soustraitant est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique.

8. Ces règles sont définies à l’article 79 du Règlement.

9. Imperial Dental applique des mesures informatiques, organisationnelles et techniques pour assurer la protection des données pendant le traitement. En cas d’incident de sécurité des données, nous en informons l’autorité de contrôle compétente et, si nécessaire, les personnes concernées, conformément à la législation applicable.

Fait à Budapest, le 1er juillet 2025.