Osoby, o których firma ma dane, mają prawa wynikające z art. 12-22 ogólnego rozporządzenia o ochronie danych. Często to pracownicy pierwszego kontaktu słyszą o nich jako pierwsi: przez telefon, w sklepie lub w e-mailu. Musisz więc znać te prawa i wiedzieć, co robić, gdy ktoś z nich korzysta.
Prawa
- Informacja (art. 13 i 14): Osoba musi wiedzieć, kto przetwarza jej dane, w jakim celu, jak długo i jakie ma prawa. Zwykle dzieje się to w informacji o prywatności.
- Dostęp (art. 15): Osoba może dowiedzieć się, czy firma przetwarza jej dane, i otrzymać ich kopię oraz szereg informacji o przetwarzaniu. Prawo to nie może naruszać praw innych osób, np. nie wolno ci wydać informacji o kimś innym.
- Sprostowanie (art. 16): Nieprawidłowe dane należy poprawić.
- Usunięcie (art. 17), zwane też „prawem do bycia zapomnianym”: Dane należy usunąć, np. gdy nie są już potrzebne albo cofnięto zgodę. Prawo to nie obowiązuje, jeśli przepisy wymagają, aby firma je przechowywała.
- Ograniczenie (art. 18): Dane wolno tylko przechowywać, a nie używać, np. w czasie rozstrzygania sporu o ich prawidłowość.
- Przenoszenie danych (art. 20): Osoba może otrzymać swoje dane w powszechnie używanym formacie nadającym się do odczytu maszynowego i przenieść je, jeśli przetwarzanie opiera się na zgodzie lub umowie i odbywa się automatycznie.
- Sprzeciw (art. 21): Osoba może sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionym interesie lub interesie publicznym. Wobec marketingu bezpośredniego prawo to jest bezwzględne: firma musi wtedy przestać.
- Zautomatyzowane decyzje (art. 22): Osoba ma co do zasady prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, np. profilowaniu, gdy wywołuje ona skutki prawne lub podobnie istotnie na nią wpływa.
Termin
Firma musi odpowiedzieć bez zbędnej zwłoki i najpóźniej w ciągu miesiąca od otrzymania żądania. Termin można przedłużyć o dwa kolejne miesiące, jeśli żądanie jest skomplikowane lub jest ich wiele. Osoba musi wtedy zostać poinformowana o przedłużeniu i jego przyczynach w ciągu pierwszego miesiąca (art. 12 ust. 3). Odpowiedź jest co do zasady bezpłatna.
Jeśli firma nie może spełnić żądania, musi poinformować osobę, dlaczego, oraz że może wnieść skargę do Datatilsynet i skierować sprawę do sądu.
Co robisz, gdy ktoś o coś prosi?
- Nie zatrzymuj się i nie odmawiaj. Żądanie może mieć dowolną formę, także ustną lub w e-mailu od klienta. Nie musi wspominać o RODO.
- Przekaż je od razu osobie lub działowi odpowiedzialnemu za takie żądania u was. Termin biegnie od otrzymania żądania.
- Nie wydawaj samodzielnie danych, dopóki tożsamość nie zostanie sprawdzona. W przeciwnym razie ryzykujesz wydanie danych niewłaściwej osobie. Firma może poprosić o informacje niezbędne do potwierdzenia tożsamości.
- Nie usuwaj ani nie zmieniaj danych, by wyglądały lepiej, po tym jak ktoś poprosił o dostęp. Zmienianie ich, by coś ukryć, jest niezgodne z prawem.
Skarga i odszkodowanie
Osoba może wnieść skargę do Datatilsynet (art. 77). Ten, kto poniósł szkodę, ma prawo do odszkodowania (art. 82). Decydują o nim sądy.
Pamiętaj: Termin jednego miesiąca biegnie także wtedy, gdy żądanie leży w twojej skrzynce.