Rozporządzenie daje każdemu prawa wobec organizacji, które przetwarzają dane o nim. Jako pracownik też masz te prawa, a możesz też być pierwszą osobą, która otrzyma wniosek od klienta lub współpracownika.
Prawa
- Informacja (art. 13 i 14): prawo dowiedzieć się, jak dane są wykorzystywane.
- Dostęp (art. 15): prawo dowiedzieć się, czy organizacja przetwarza dane o tobie, otrzymać kopię oraz poznać cele, odbiorców i okres przechowywania.
- Sprostowanie (art. 16): nieprawidłowe dane należy sprostować, a niekompletne uzupełnić.
- Usunięcie (art. 17, „prawo do bycia zapomnianym”): w określonych przypadkach, np. gdy dane nie są już potrzebne lub zgoda została cofnięta. Prawo nie jest bezwzględne. Jeśli prawo wymaga od organizacji zachowania danych, usunięcie nie przysługuje.
- Ograniczenie przetwarzania (art. 18): dane są przechowywane, ale nie są dalej wykorzystywane, dopóki spór nie zostanie rozstrzygnięty.
- Przenoszenie danych (art. 20): prawo otrzymać dane, które pochodzą od ciebie, w powszechnie używanym formacie nadającym się do odczytu maszynowego. Dotyczy przetwarzania automatycznego opartego na zgodzie lub umowie.
- Sprzeciw (art. 21): wobec przetwarzania opartego na prawnie uzasadnionym interesie lub zadaniu publicznym, a zawsze wobec marketingu bezpośredniego.
- Zautomatyzowane decyzje (art. 22): prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeśli wywołuje ona skutki prawne lub podobnie istotne. Są wyjątki, np. gdy decyzja jest niezbędna do zawarcia umowy lub opiera się na wyraźnej zgodzie. Wtedy co do zasady masz prawo do oceny sprawy przez człowieka, do wyrażenia swojego stanowiska i do zakwestionowania decyzji.
Termin: jeden miesiąc
Organizacja ma odpowiedzieć bez zbędnej zwłoki i najpóźniej w ciągu miesiąca od otrzymania wniosku (art. 12 ust. 3). Termin można przedłużyć o kolejne dwa miesiące, jeśli wniosek jest skomplikowany lub wniosków jest dużo, ale osoba musi o tym zostać poinformowana w ciągu pierwszego miesiąca, wraz z uzasadnieniem.
Zasadą jest, że odpowiedź jest bezpłatna. Organizacja może pobrać rozsądną opłatę lub odmówić tylko wtedy, gdy wniosek jest ewidentnie nieuzasadniony lub nadmierny.
Co robisz, gdy otrzymasz wniosek?
Wniosek nie musi używać konkretnych słów. Jeśli klient pisze „Chcę zobaczyć, co o mnie przechowujecie” albo „usuńcie mnie”, to jest wniosek o realizację praw.
- Nie ignoruj go. Termin biegnie od dnia, w którym organizacja otrzymała wniosek, także gdy trafi on do ciebie.
- Przekaż go natychmiast osobie odpowiedzialnej za ochronę danych lub funkcji wyznaczonej przez organizację i zapisz datę otrzymania.
- Niczego nie wydawaj samodzielnie, jeśli nie masz takiego polecenia. Najpierw trzeba ustalić, kto pyta.
- Niczego nie obiecuj, za co nie możesz ręczyć, np. usunięcia wszystkiego.
Sprawdzenie tożsamości
Organizacja musi upewnić się, że pyta właściwa osoba. W przeciwnym razie oszust mógłby uzyskać dostęp do cudzych danych, a to samo w sobie jest naruszeniem. Jeśli nie ma pewności, organizacja może poprosić o niezbędne dodatkowe informacje potwierdzające tożsamość. Klient nie powinien musieć przesyłać więcej, niż trzeba, a numeru identyfikacyjnego zwykle nie należy wymagać.
Gdy w dokumencie są cudze dane
Prawo dostępu nie może naruszać praw innych osób. Jeśli w dokumencie są informacje o innych osobach, często trzeba je zaczernić przed wysłaniem kopii. Robią to osoby odpowiedzialne w organizacji, a nie pojedynczy pracownik na własną rękę.
Skarga do Datatilsynet
Jeśli organizacja nie odpowiedziała albo odmówiła bez dobrego powodu, osoba może złożyć skargę do Datatilsynet. Od decyzji Datatilsynet co do zasady można się odwołać do Personvernnemnda (norweskiej rady odwoławczej ds. ochrony danych, § 22 ustawy o danych osobowych). Osoba może też wystąpić do sądu i żądać odszkodowania (lekcja 9).