RODO daje każdemu człowiekowi prawa do jego danych. Dotyczą klientów, uczniów, pacjentów, pracowników i wszystkich innych. Jako pracownik możesz dostać wniosek albo też chcieć skorzystać z tych praw.
Prawo do informacji
Zgodnie z art. 13 i 14 ludzie mają się dowiedzieć, kto przetwarza ich dane, dlaczego, na jakiej podstawie, jak długo dane są przechowywane i jakie mają prawa. Często robi się to w informacji o prywatności lub ulotce informacyjnej. Jeśli dane nie pochodzą od samej osoby, informację trzeba przekazać w rozsądnym terminie, najpóźniej w ciągu miesiąca.
Prawo dostępu (wyciąg z rejestru)
Zgodnie z art. 15 osoba ma prawo dowiedzieć się, czy jej dane są przetwarzane. Ma też prawo do kopii danych oraz informacji o celu, odbiorcach, okresie przechowywania i źródle danych. Pierwsza kopia jest bezpłatna.
Pozostałe prawa
- Sprostowanie (art. 16): błędne dane trzeba poprawić, a niekompletne uzupełnić.
- Usunięcie, „prawo do bycia zapomnianym” (art. 17): dane trzeba usunąć między innymi wtedy, gdy nie są już potrzebne lub zgoda została wycofana. To prawo nie jest bezwzględne. Danych, które prawo każe przechowywać, nie wolno usuwać.
- Ograniczenie przetwarzania (art. 18): dane wolno tymczasowo tylko przechowywać, na przykład w czasie rozpatrywania sprostowania.
- Przenoszenie danych (art. 20): w niektórych przypadkach prawo do otrzymania swoich danych w formacie nadającym się do odczytu maszynowego i do ich przeniesienia.
- Sprzeciw (art. 21): prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie lub interesie publicznym. Wobec marketingu bezpośredniego istnieje bezwzględne prawo sprzeciwu, a przetwarzanie musi wtedy ustać.
- Decyzje zautomatyzowane (art. 22): osoba ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub w podobny sposób istotnie na nią wpływa.
Jak szybko musimy odpowiedzieć?
Zgodnie z art. 12 organizacja ma odpowiedzieć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Termin można przedłużyć o kolejne dwa miesiące, jeśli wniosek jest skomplikowany lub wpłynęło wiele wniosków, ale osoba musi się o tym dowiedzieć w pierwszym miesiącu. Odpowiedź ma być co do zasady bezpłatna. Przy wnioskach ewidentnie nieuzasadnionych lub nadmiernych organizacja może pobrać opłatę albo odmówić.
Termin liczy się od dnia, w którym organizacja otrzyma wniosek. Nie zaczyna się dopiero wtedy, gdy przeczyta go właściwa osoba.
Jak postępować z wnioskiem
- Rozpoznaj go. Wniosek nie musi wspominać o RODO. Wystarczy „Jakie dane o mnie macie?” albo „Usuńcie moje dane”. Może przyjść e-mailem, listem, telefonicznie, czatem lub w sklepie.
- Przekaż go od razu osobie wyznaczonej przez organizację, na przykład inspektorowi ochrony danych lub komórce zajmującej się ochroną danych.
- Niczego nie zmieniaj ani nie usuwaj, żeby nie musieć tego pokazać. To niedozwolone.
- Nie wydawaj danych samodzielnie, jeśli nie masz takiego zadania. Organizacja musi najpierw sprawdzić, czy pytający naprawdę jest osobą, której dotyczą dane.
- Nie odmawiaj na własną rękę. To decyzja organizacji i może wymagać oceny, co wolno udostępnić.
Skargi i środki prawne
Kto uważa, że przepisy nie są przestrzegane, może złożyć skargę do IMY (art. 77). Może też zwrócić się do sądu i żądać odszkodowania (art. 82), jeśli poniósł szkodę.