Според чл. 12 до 22 от GDPR хората имат редица права. Право може да упражни пред вашата фирма клиент, кандидат за работа, ученик или колега. Често ще научите първи за това, защото искането идва по имейл, по телефона или на гишето.
Правата
- Информация (чл. 13 и 14): кой обработва данните, защо, колко дълго и какви права има човекът. Обикновено във вид на информация за обработването.
- Достъп (чл. 15): човекът има право да узнае дали данните му се обработват и да получи копие и друга информация. Първото копие е безплатно. С това не бива да се нарушават правата на други хора, затова данните на трети лица не се разкриват.
- Коригиране (чл. 16): неточните данни се коригират, а непълните се допълват.
- Изтриване (чл. 17), „право да бъдеш забравен“: данните се изтриват например когато вече не са нужни или когато човекът е оттеглил съгласието си. Не важи, ако администраторът е длъжен да ги съхранява по закон.
- Ограничаване на обработването (чл. 18): данните само се съхраняват, например докато се решава въпросът за точността им.
- Преносимост (чл. 20): при обработване въз основа на съгласие или договор и по автоматизиран начин човекът може да получи данните в структуриран, широко използван формат.
- Възражение (чл. 21): човекът може да възрази срещу обработването на основание законен интерес и срещу директния маркетинг. При възражение срещу маркетинга обработването трябва винаги да спре.
- Автоматизирано вземане на решения (чл. 22): човекът има право да не бъде обект на решение, основано единствено на автоматизирано обработване, което поражда правни последици за него или го засяга в значителна степен.
Срок: един месец
Администраторът трябва да отговори на искане без ненужно забавяне и най-късно в рамките на един месец от получаването му. Срокът може да бъде удължен с още два месеца, ако това е необходимо предвид сложността и броя на исканията. За удължаването човекът се информира в рамките на месеца заедно с причините (чл. 12, пар. 3). Срокът тече от получаването на искането от администратора. На практика това важи, дори искането да е приел който и да е служител, а не само отговорното лице.
Какво трябва да правите вие
- Разпознайте искането. Не е нужно да съдържа думите „GDPR“ или „член 15“. Достатъчно е „искам да знам какво имате за мен“ или „изтрийте ме от базата данни“.
- Не го изпълнявайте сами, ако нямате указание за това. Веднага го предайте на определеното лице, на длъжностното лице по защита на данните или на началника си според вътрешните правила. Запишете кога е получено искането.
- Проверете самоличността. Администраторът трябва да е сигурен, че данните получава този, когото засягат. Иначе би могъл да предаде данни на измамник. При съмнение може да поиска допълнителна информация.
- Не обещавайте изтриване или предоставяне. Това решава администраторът, който преценява изключенията.
Исканията по принцип са безплатни. Ако едно искане е очевидно неоснователно или прекомерно, например повтарящо се, администраторът може да поиска разумна такса или да го откаже. Отказът трябва да бъде мотивиран и да посочва възможността за подаване на жалба.
Жалба до ÚOOÚ
Ако човекът не е доволен, може да подаде жалба до Úřad pro ochranu osobních údajů (чл. 77 от GDPR) или да се обърне към съд. Право на обезщетение има според чл. 82 всеки, който е претърпял имуществени или неимуществени вреди в резултат на нарушение на регламента.
Телефон и гише
Когато обаждащ се иска информация за друг човек, например „работи ли при вас господин Novák?“, не я съобщавайте без проверка. Първо винаги проверете с кого говорите и какъв е мотивът му. При съмнение предложете да му се обадите обратно.
Какво да запомните
- Искането не е нужно да е наименовано „по GDPR“. Достатъчно е да е ясно.
- Срокът е един месец, по изключение до три месеца общо.
- Предайте искането веднага според вътрешните правила.
- Преди да предоставите данни, проверете самоличността.