Osoby, których dane są przechowywane, mają prawa wynikające z UK GDPR. Pracownicy muszą rozpoznać wniosek, gdy nadejdzie, bo może trafić do każdego, na każde stanowisko, każdą drogą.
Główne prawa
- Prawo do informacji. Organizacje muszą wyjaśnić, jak wykorzystują dane, zwykle w informacji o prywatności.
- Prawo dostępu. Osoba może poprosić o kopię swoich danych osobowych i informacje o tym, jak są wykorzystywane. To wniosek o dostęp do danych (subject access request, SAR).
- Prawo do sprostowania. Nieprawidłowe lub niepełne dane trzeba poprawić.
- Prawo do usunięcia. W niektórych przypadkach dane trzeba usunąć. To prawo nie jest bezwzględne.
- Prawo do ograniczenia przetwarzania. W niektórych przypadkach wykorzystywanie danych zostaje wstrzymane.
- Prawo do przenoszenia danych. W niektórych przypadkach osoba może otrzymać dane, które podała, w formacie nadającym się do ponownego użycia.
- Prawo sprzeciwu. Osoba może sprzeciwić się niektórym sposobom wykorzystania, np. opartym na prawnie uzasadnionych interesach. Prawo sprzeciwu wobec marketingu bezpośredniego jest bezwzględne: gdy ktoś powie „dość”, marketing musi się skończyć.
- Prawa związane z decyzjami zautomatyzowanymi. Istnieją zabezpieczenia dla ważnych decyzji podejmowanych wyłącznie automatycznie. Ustawa z 2025 r. zmieniła niektóre reguły, ale ludzie zachowują kluczowe zabezpieczenia, np. prawo do żądania weryfikacji przez człowieka.
Jak wygląda wniosek o dostęp
SAR nie wymaga specjalnego formularza ani słów „subject access”. Może być:
- pisemny lub ustny, np. w e-mailu, liście, wiadomości w mediach społecznościowych lub rozmowie telefonicznej;
- skierowany do dowolnej części organizacji, nie tylko do inspektora ochrony danych;
- sformułowany prosto: „Proszę o przesłanie wszystkiego, co o mnie macie”.
ICO podkreśla, że organizacja nie powinna nalegać na formularz. Wniosek wysłany do niewłaściwej osoby nadal jest wnioskiem.
Termin
Organizacja musi odpowiedzieć bez zbędnej zwłoki i w ciągu jednego miesiąca od otrzymania wniosku. Termin biegnie od dnia otrzymania wniosku, a nie od dnia, w którym dotrze do właściwej osoby. Dlatego musisz go przekazać natychmiast.
Termin można przedłużyć o maksymalnie dwa kolejne miesiące, jeśli wniosek jest złożony lub osoba złożyła ich kilka. Organizacja musi poinformować o tym osobę w pierwszym miesiącu i wyjaśnić powód. Data (Use and Access) Act 2025 pozwala też wstrzymać bieg terminu na czas, gdy organizacja prosi osobę o doprecyzowanie, czego chce, o ile naprawdę tego potrzebuje, by odpowiedzieć.
Inne kwestie
- Pierwsza kopia jest zwykle bezpłatna. Opłata lub odmowa jest możliwa tylko wtedy, gdy wniosek jest ewidentnie nieuzasadniony lub nadmierny.
- Organizacja może musieć zweryfikować tożsamość. Nie powinna żądać więcej, niż potrzeba.
- Osoba ma prawo do swoich danych po rozsądnym i proporcjonalnym poszukiwaniu. Ustawa z 2025 r. wpisała to sformułowanie do prawa. Nie pozwala ono pominąć poszukiwań.
- Dane o innych osobach mogą wymagać usunięcia lub ochrony. Decyzja należy do osób obsługujących wniosek.
- Niektóre dane są wyłączone, np. część porad prawnych. Nie decyduj o tym sam.
- Przestępstwem jest usuwanie, ukrywanie lub zmienianie danych, aby uniemożliwić ich ujawnienie po złożeniu wniosku (sekcja 173 DPA 2018).
Co zrobić, gdy dostaniesz wniosek
- Nie ignoruj go i nie odpowiadaj na niego samodzielnie.
- Zanotuj datę i autora, zachowaj wiadomość.
- Przekaż go osobie wskazanej w procedurze tego samego dnia.
- Nie usuwaj ani nie edytuj powiązanych rekordów.
Jeśli wniosek dotyczy poprawienia, usunięcia lub zaprzestania wykorzystywania danych, postępuj tak samo. Organizacje muszą też rozpatrywać skargi. Od 19 czerwca 2026 r. (zmiana wprowadzona ustawą z 2025 r.) administrator musi zapewnić ludziom sposób złożenia skargi na wykorzystanie ich danych, potwierdzić jej otrzymanie w ciągu 30 dni, rozpatrzyć ją bez zbędnej zwłoki i poinformować osobę o wyniku. Ludzie nadal mogą skarżyć się do ICO.