Według art. 12–22 RODO ludzie mają szereg praw. Z praw może skorzystać w twojej firmie klient, kandydat do pracy, uczeń czy kolega. Często dowiadujesz się o tym jako pierwszy, bo wniosek przychodzi e-mailem, telefonicznie albo przy okienku.
Prawa
- Informacja (art. 13 i 14): kto przetwarza dane, po co, jak długo i jakie prawa ma osoba. Zwykle w formie informacji o przetwarzaniu.
- Dostęp (art. 15): osoba ma prawo dowiedzieć się, czy jej dane są przetwarzane, i otrzymać ich kopię oraz dalsze informacje. Pierwsza kopia jest bezpłatna. Nie wolno tym naruszyć praw innych, więc dane osób trzecich się nie ujawnia.
- Sprostowanie (art. 16): nieprawidłowe dane się poprawia, a niekompletne uzupełnia.
- Usunięcie (art. 17), „prawo do bycia zapomnianym”: dane usuwa się na przykład wtedy, gdy nie są już potrzebne albo gdy osoba wycofała zgodę. Nie dotyczy to sytuacji, gdy administrator musi je przechowywać z mocy ustawy.
- Ograniczenie przetwarzania (art. 18): dane są tylko przechowywane, na przykład w czasie, gdy wyjaśnia się ich prawidłowość.
- Przenoszenie (art. 20): przy przetwarzaniu na podstawie zgody lub umowy i w sposób zautomatyzowany osoba może otrzymać dane w ustrukturyzowanym, powszechnie używanym formacie.
- Sprzeciw (art. 21): osoba może wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie i wobec marketingu bezpośredniego. Przetwarzanie do celów marketingu trzeba zawsze zakończyć.
- Zautomatyzowane podejmowanie decyzji (art. 22): osoba ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje wobec niej skutki prawne lub podobnie istotnie na nią wpływa.
Termin: jeden miesiąc
Administrator musi odpowiedzieć na wniosek bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od jego otrzymania. Termin można przedłużyć o kolejne dwa miesiące, jeśli jest to konieczne ze względu na złożoność i liczbę wniosków. O przedłużeniu informuje się osobę w ciągu miesiąca wraz z powodami (art. 12 ust. 3). Termin biegnie od doręczenia wniosku administratorowi. W praktyce obowiązuje to także wtedy, gdy wniosek przyjmie dowolny pracownik, a nie dopiero osoba odpowiedzialna.
Co masz robić ty
- Rozpoznaj wniosek. Nie musi zawierać słów „RODO” ani „artykuł 15”. Wystarczy „chcę wiedzieć, co o mnie macie” albo „usuńcie mnie z bazy”.
- Nie załatwiaj go samodzielnie, jeśli nie masz takiego polecenia. Natychmiast przekaż go wyznaczonej osobie, inspektorowi ochrony danych lub przełożonemu zgodnie z zasadami wewnętrznymi. Zanotuj, kiedy wniosek wpłynął.
- Zweryfikuj tożsamość. Administrator ma mieć pewność, że dane dostanie ten, kogo dotyczą. Inaczej mógłby wydać dane oszustowi. W razie wątpliwości może zażądać dodatkowych informacji.
- Nie obiecuj usunięcia ani wydania danych. Decyduje o tym administrator, który ocenia wyjątki.
Wnioski są zwykle bezpłatne. Jeśli wniosek jest oczywiście nieuzasadniony lub nadmierny, na przykład powtarzany, administrator może pobrać rozsądną opłatę albo odmówić jego rozpatrzenia. Odmowę musi uzasadnić i pouczyć o możliwości złożenia skargi.
Skarga do Urzędu
Jeśli osoba nie jest zadowolona, może złożyć skargę do Urzędu Ochrony Danych Osobowych (art. 77 RODO) albo zwrócić się do sądu. Prawo do odszkodowania ma według art. 82 każdy, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia.
Telefon i okienko
Gdy dzwoniący chce informacji o innej osobie, na przykład „czy pracuje u was pan Novák?”, nie podawaj ich bez weryfikacji. Zawsze najpierw sprawdź, z kim rozmawiasz i jaki ma powód. W razie wątpliwości zaproponuj, że oddzwonisz.
Co zapamiętać
- Wniosek nie musi być nazwany „na podstawie RODO”. Wystarczy, że jest jasny.
- Termin to miesiąc, wyjątkowo łącznie do trzech miesięcy.
- Wniosek natychmiast przekaż zgodnie z zasadami wewnętrznymi.
- Przed wydaniem danych zweryfikuj tożsamość.