RODO daje ludziom, osobom, których dane dotyczą, konkretne prawa do ich danych. Każdy pracownik może spotkać się z takim wnioskiem, na przykład przy ladzie, przez telefon lub w e-mailu. Musisz umieć go rozpoznać i od razu przekazać osobie, która ma się nim zająć.
Główne prawa (art. 15–22 RODO)
- Dostęp (art. 15): dowiedzieć się, czy dane są przetwarzane, uzyskać kopię oraz poznać cele, odbiorców i czas przechowywania.
- Sprostowanie (art. 16): poprawić lub uzupełnić błędne dane.
- Usunięcie, czyli tak zwane „prawo do bycia zapomnianym” (art. 17): doprowadzić do usunięcia danych w określonych przypadkach, na przykład gdy nie są już potrzebne lub zgoda została wycofana. To prawo nie jest bezwzględne: dane, które prawo każe przechowywać, trzeba zachować.
- Ograniczenie (art. 18): żądać, by dane były tylko przechowywane, na przykład w czasie sprawdzania ich prawidłowości.
- Przenoszenie (art. 20): otrzymać w ustrukturyzowanym formacie dane, które się dostarczyło, gdy przetwarzanie opiera się na zgodzie lub umowie i odbywa się w sposób zautomatyzowany.
- Sprzeciw (art. 21): sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionym interesie lub interesie publicznym, a zawsze marketingowi bezpośredniemu.
- Nie podlegać decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu o istotnych skutkach (art. 22).
Istnieje też prawo do wycofania zgody w każdej chwili (art. 7).
Termin jednego miesiąca
Administrator musi odpowiedzieć bez zbędnej zwłoki i najpóźniej w ciągu miesiąca od otrzymania wniosku. W skomplikowanych przypadkach termin można przedłużyć o kolejne dwa miesiące, ale osobę trzeba o przedłużeniu poinformować w ciągu pierwszego miesiąca (art. 12 ust. 3). Odpowiedź jest co do zasady bezpłatna.
Miesiąc biegnie od chwili, gdy wniosek otrzymała firma, nawet jeśli trafił tylko do jednego pracownika. Dlatego liczy się, jak szybko go przekażesz.
Jak rozpoznać wniosek
Nie są potrzebne żadne szczególne sformułowania ani formularz. Osoba może powiedzieć:
- „Chcę wiedzieć, jakie dane o mnie macie.”
- „Usuńcie mój numer z waszej listy.”
- „Nie chcę już dostawać waszych ofert.”
- „W moim adresie jest błąd, proszę go poprawić.”
Wniosek może przyjść e-mailem, pocztą, telefonem, przez media społecznościowe lub przy okienku. Jeśli zdanie brzmi jak wniosek dotyczący danych, traktuj je jak wniosek.
Co robisz
- Wysłuchaj i zanotuj: kto to jest, o co prosi, kiedy i w jaki sposób.
- Nie odpowiadaj merytorycznie na własną rękę i nie obiecuj terminów. Nie podawaj danych przez telefon osobie, której nie znasz.
- Od razu przekaż wniosek osobie odpowiedzialnej za prywatność, IOD lub osobie wskazanej przez firmę.
- Nie usuwaj ani nie zmieniaj danych „żeby szybko załatwić sprawę”: usunięcie poza procedurą może zniszczyć to, co prawo każe przechowywać.
Weryfikacja tożsamości
Zanim przekażesz dane osobie, która o nie prosi, trzeba mieć pewność, że naprawdę jest osobą, której dane dotyczą (art. 12 ust. 6). Przekazanie kopii danych osobie, która udaje kogoś innego, jest naruszeniem ochrony danych. Administrator może poprosić o informacje potrzebne do potwierdzenia tożsamości, ale tylko o te.
Dane innych osób
Prawo dostępu dotyczy własnych danych. Nie wolno ujawniać danych innych osób: na przykład w kopii dokumentu wewnętrznego należy zaczernić nazwiska osób trzecich, jeśli nie ma powodu, by tego nie robić. Decyduje administrator, nie ty.
Skarga i odszkodowanie
Kto uważa, że naruszono jego prawa, może wnieść skargę do Garante (art. 77 RODO) lub zwrócić się do sądu (art. 79) i może żądać odszkodowania (art. 82). Powolna lub nieuprzejma odpowiedź na prosty wniosek może doprowadzić do skargi.