GDPR le dă oamenilor, persoanelor vizate, drepturi precise asupra datelor lor. Orice angajat se poate trezi în fața unei cereri, de exemplu la ghișeu, la telefon sau într-un e-mail. Trebuie să o poată recunoaște și să o transmită imediat celui care trebuie să se ocupe de ea.
Drepturile principale (art. 15–22 GDPR)
- Acces (art. 15): a afla dacă datele sunt prelucrate, a primi o copie și a cunoaște scopurile, destinatarii și durata.
- Rectificare (art. 16): a obține corectarea sau completarea datelor greșite.
- Ștergere, așa-numitul „drept de a fi uitat" (art. 17): a obține ștergerea datelor în anumite cazuri, de exemplu când nu mai sunt necesare sau când consimțământul a fost retras. Nu este absolut: datele pe care legea impune să le păstrați rămân păstrate.
- Restricționare (art. 18): a cere ca datele să fie doar păstrate, de exemplu cât timp se verifică exactitatea lor.
- Portabilitate (art. 20): a primi într-un format structurat datele furnizate, când prelucrarea se bazează pe consimțământ sau pe contract și este automatizată.
- Opoziție (art. 21): a se opune unei prelucrări bazate pe interesul legitim sau pe interesul public și întotdeauna marketingului direct.
- A nu fi supus unor decizii bazate exclusiv pe prelucrare automată cu efecte importante (art. 22).
Există și dreptul de a retrage consimțământul în orice moment (art. 7).
Termenul de o lună
Operatorul trebuie să răspundă fără întârzieri nejustificate și cel târziu într-o lună de la primirea cererii. În cazuri complexe termenul poate fi prelungit cu încă două luni, dar persoana trebuie informată despre prelungire în prima lună (art. 12 alin. 3). De regulă răspunsul este gratuit.
Luna începe din momentul în care firma primește cererea, chiar dacă a ajuns la un singur angajat. De aceea contează cât de repede o transmiteți mai departe.
Cum recunoașteți o cerere
Nu sunt necesare formule speciale și nici un formular. Persoana poate cere:
- „Vreau să știu ce date aveți despre mine."
- „Ștergeți-mi numărul din lista dumneavoastră."
- „Nu mai vreau să primesc ofertele dumneavoastră."
- „Este o greșeală în adresa mea, corectați-o."
Poate veni prin e-mail, prin poștă, la telefon, pe rețelele de socializare sau la ghișeu. Dacă o frază pare o cerere privind datele, tratați-o ca atare.
Ce faceți dumneavoastră
- Ascultați și notați: cine este, ce cere, când și cum a cerut.
- Nu răspundeți singur pe fond și nu promiteți termene. Nu dați date la telefon unei persoane pe care nu o cunoașteți.
- Transmiteți imediat cererea persoanei de contact pentru confidențialitate, DPO sau responsabilului indicat de firmă.
- Nu ștergeți și nu modificați datele „ca să rezolvați repede": o ștergere în afara procedurii poate distruge ceea ce legea impune să se păstreze.
Verificarea identității
Înainte de a da date celui care le cere, trebuie să fiți sigur că este într-adevăr persoana vizată (art. 12 alin. 6). Predarea copiei datelor unei persoane care se dă drept alta este o încălcare a securității datelor. Operatorul poate cere informațiile necesare pentru a confirma identitatea, dar numai pe acelea.
Datele altor persoane
Dreptul de acces privește propriile date. Nu trebuie să dezvăluiți datele altor persoane: de exemplu, într-o copie a unui document intern numele terților se maschează, dacă nu există un motiv. Decide operatorul, nu dumneavoastră.
Plângere și despăgubire
Cine consideră că i-au fost încălcate drepturile poate depune o plângere la Garante (art. 77 GDPR) sau se poate adresa instanței (art. 79) și poate cere despăgubiri pentru prejudiciu (art. 82). Un răspuns lent sau nepoliticos la o cerere simplă poate da naștere unei plângeri.