RODO daje każdemu prawa do jego danych osobowych. Jako pracownik też masz te prawa i możesz być pierwszą osobą, do której trafi wniosek klienta lub współpracownika.
Prawa
- Prawo do informacji (art. 13 i 14): do uzyskania informacji o tym, jak używa się danych.
- Prawo dostępu (art. 15): do ustalenia, czy organizacja używa danych o danej osobie, do otrzymania kopii oraz do poznania celów, odbiorców i okresu przechowywania.
- Prawo do sprostowania (art. 16): do poprawienia błędnych danych i uzupełnienia niekompletnych.
- Prawo do usunięcia (art. 17, „prawo do bycia zapomnianym”): w określonych przypadkach, na przykład gdy dane nie są już potrzebne lub wycofano zgodę. Nie jest bezwzględne. Jeśli prawo wymaga przechowywania danych, pozostają.
- Prawo do ograniczenia przetwarzania (art. 18): do tego, by dane były przechowywane, ale nie używane, dopóki spór nie zostanie rozstrzygnięty.
- Prawo do przenoszenia danych (art. 20): do otrzymania danych, które osoba sama przekazała, w powszechnie używanym formacie nadającym się do odczytu maszynowego, gdy użycie opiera się na zgodzie lub umowie i jest zautomatyzowane.
- Prawo sprzeciwu (art. 21): wobec przetwarzania opartego na prawnie uzasadnionych interesach lub zadaniu publicznym, a zawsze wobec marketingu bezpośredniego.
- Prawa związane z decyzjami zautomatyzowanymi (art. 22): prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, która wywołuje skutki prawne lub podobnie istotnie wpływa na osobę, z pewnymi wyjątkami. Ludzie mogą żądać oceny przez człowieka.
Wnioski o dostęp do danych (SAR)
Wniosek nie musi zawierać żadnych specjalnych słów, formularza ani określenia „dostęp do danych”. Może przyjść e-mailem, listem, telefonicznie, przez media społecznościowe lub osobiście i może być skierowany do dowolnego pracownika. „Czy mogę dostać wszystko, co o mnie macie?” to ważny SAR. Ważny jest też wniosek złożony przez adwokata lub inną osobę upoważnioną przez daną osobę.
Termin: jeden miesiąc
Organizacja musi odpowiedzieć bez zbędnej zwłoki i w każdym razie w ciągu jednego miesiąca od otrzymania wniosku (art. 12 ust. 3). Termin można przedłużyć o maksymalnie dwa kolejne miesiące w przypadku złożonych lub licznych wniosków, ale osobę trzeba o tym poinformować w pierwszym miesiącu, podając powody. Termin biegnie od chwili, gdy wniosek wpłynął, a nie od chwili, gdy trafi na właściwe biurko. Dlatego musisz go przekazać tego samego dnia.
Co zrobić, gdy dostaniesz taki wniosek
- Nie ignoruj go i nie odpowiadaj na niego samodzielnie, chyba że to twoja rola.
- Przekaż go od razu osobie lub zespołowi wskazanemu w procedurze pracodawcy, takiemu jak inspektor ochrony danych lub osoba odpowiedzialna za ochronę danych.
- Zapisz datę i sposób, w jaki wniosek wpłynął.
- Nigdy nie usuwaj ani nie zmieniaj dokumentów po otrzymaniu wniosku, by uniknąć ujawnienia. To niweczy prawo dostępu, może skutkować postępowaniem dyscyplinarnym i zawsze pogarsza sytuację.
Zasady dla organizacji
- SAR jest co do zasady bezpłatny. Rozsądną opłatę można pobrać tylko za wniosek ewidentnie nieuzasadniony lub nadmierny albo za dodatkowe kopie, a organizacja może odmówić takiego wniosku, jeśli wyjaśni dlaczego.
- Może poprosić o potwierdzenie tożsamości, jeśli jest to uzasadnione.
- Nie może ujawnić danych innych osób bez podstawy prawnej, dlatego pracownicy zaciemniają lub zatrzymują to, co należy.
- Niektóre informacje można zatrzymać na podstawie wyłączeń w Data Protection Act 2018, na przykład materiały objęte tajemnicą adwokacką. Stosowanie wyłączeń to decyzja inspektora ochrony danych lub doradcy prawnego.
- Jeśli odmawia, musi wyjaśnić dlaczego i poinformować osobę, że może złożyć skargę do DPC i wystąpić do sądu.
Pracownicy i SAR
Pracownicy mogą żądać własnych akt osobowych, e-maili, w których o nich wspomniano, i notatek na swój temat. Zastanów się, zanim napiszesz o współpracowniku lub kliencie w e-mailu czy notatce: może trzeba będzie to ujawnić. Pisz tak, jakby ta osoba miała to przeczytać.
Skargi i środki prawne
Ludzie mogą złożyć skargę do DPC (art. 77). Mogą też wnieść powództwo z zakresu ochrony danych do sądu, a Data Protection Act 2018 (sekcja 117) pozwala sądowi przyznać odszkodowanie za szkodę majątkową lub niemajątkową, taką jak cierpienie psychiczne.
Co zapamiętać
- SAR można złożyć do każdego, w dowolnej formie. Przekaż go tego samego dnia.
- Termin to jeden miesiąc, z możliwością przedłużenia o dwa miesiące w złożonych sprawach.
- Co do zasady jest bezpłatny.
- Nigdy nie niszcz ani nie zmieniaj dokumentów po otrzymaniu wniosku.