Хората, чиито данни се пазят, имат права по UK GDPR. Персоналът трябва да разпознава едно искане, когато пристигне, защото то може да стигне до всеки, на всяко бюро и по всеки път.
Основните права
- Да бъдат информирани. Организациите трябва да обясняват как използват данните, обикновено в известие за поверителност.
- На достъп. Човек може да поиска копие от личните си данни и информация как се използват. Това е искане за достъп от субекта на данни (subject access request, SAR).
- На коригиране. Неточните или непълни данни трябва да се поправят.
- На изтриване. В някои случаи данните трябва да се изтрият. Това не е абсолютно право.
- На ограничаване на обработването. В някои случаи използването на данните се спира.
- На преносимост на данните. В някои случаи човек може да получи данните, които е предоставил, във формат, който може да се използва повторно.
- На възражение. Човек може да възрази срещу някои видове използване, като това на основание легитимни интереси. Правото на възражение срещу директен маркетинг е абсолютно: щом някой каже стоп, това трябва да спре.
- Във връзка с автоматизирани решения. Има гаранции за важни решения, взети само по автоматизиран път. Законът от 2025 г. промени някои правила, но хората запазват ключови защити, като правото да поискат преглед от човек.
Как изглежда искане за достъп
SAR не изисква специален формуляр или думите „subject access“. Може да бъде:
- писмено или устно, например в имейл, писмо, съобщение в социалните мрежи или телефонно обаждане;
- изпратено до която и да е част от организацията, не само до длъжностното лице по защита на данните;
- формулирано просто: „Моля, изпратете ми всичко, което имате за мен.“
ICO казва, че организацията не бива да настоява за формуляр. Искане, изпратено на грешния човек, пак е искане.
Срокът
Организацията трябва да отговори без ненужно забавяне и в рамките на един месец от получаването на искането. Срокът тече от деня, в който искането е получено, а не от деня, в който стигне до правилния човек. Затова трябва да го предадете веднага.
Срокът може да бъде удължен с до два допълнителни месеца, ако искането е сложно или човекът е направил няколко искания. Организацията трябва да уведоми човека в рамките на първия месец и да обясни защо. Data (Use and Access) Act 2025 позволява и срокът да бъде спрян, докато организацията моли човека да уточни какво иска, когато наистина има нужда от това, за да отговори.
Други точки
- Първото копие обикновено е безплатно. Такса или отказ са възможни само ако искането е явно неоснователно или прекомерно.
- Организацията може да трябва да провери самоличността. Не бива да иска повече, отколкото е нужно.
- Човек има право на данните си след разумно и пропорционално търсене. Законът от 2025 г. вписа тази формулировка в нормата. Тя не позволява търсенето да се пропусне.
- Данните за други хора може да трябва да се премахнат или защитят. Това решават тези, които обработват искането.
- Някои данни са изключени, например част от правните съвети. Не решавайте това сами.
- Престъпление е да изтриете, скриете или промените данни, за да не бъдат разкрити, след като искането е направено (раздел 173 от DPA 2018).
Какво да направите, ако получите искане
- Не го пренебрегвайте и не отговаряйте сами.
- Отбележете датата и кой го е направил и запазете съобщението.
- Предайте го в същия ден на лицето, посочено във вашата процедура.
- Не изтривайте и не редактирайте свързаните записи.
Ако искането е за коригиране, изтриване или спиране на използването на данни, следвайте същите стъпки. Организациите трябва да се справят и с жалби. От 19 юни 2026 г. (промяна от закона от 2025 г.) администраторът трябва да даде на хората начин да подават жалби за използването на данните им, да потвърди получаването на жалбата в рамките на 30 дни, да я разгледа без ненужно забавяне и да уведоми човека за резултата. Хората могат и да се оплачат пред ICO.