Cine are datele prelucrate are drepturi. Angajatul este persoană vizată în privința propriilor date și este, adesea, cel care primește cererile clienților, ale utilizatorilor de servicii sau ale colegilor. De aceea este important să cunoașteți drepturile și să știți ce faceți când cineva le exercită.
Drepturile principale
- Informare (art. 13 și 14 din GDPR): să afle cine prelucrează datele, în ce scop, cât timp și cui sunt comunicate.
- Acces (art. 15): să afle dacă datele sale sunt prelucrate și să primească o copie a lor, împreună cu informații despre prelucrare.
- Rectificare (art. 16): corectarea datelor inexacte sau completarea celor incomplete.
- Ștergere (art. 17): să ceară ștergerea datelor în anumite situații, de exemplu când nu mai sunt necesare.
- Restricționarea prelucrării (art. 18): suspendarea folosirii datelor cât timp se rezolvă o contestație.
- Portabilitate (art. 20): să primească datele furnizate într-un format structurat și, dacă dorește, să le transmită altui operator. Lei n.º 58/2019 (art. 18) o limitează la datele furnizate de persoana vizată.
- Opoziție (art. 21): să se opună prelucrării în anumite condiții, de exemplu marketingului direct.
- Dreptul de a nu face obiectul unor decizii automatizate cu efecte semnificative (art. 22).
Unele drepturi au limite. Dacă o lege impune un termen de păstrare, ștergerea poate fi cerută abia după el (art. 21 alin. (5) din Lei n.º 58/2019).
Termene și costuri
- Operatorul răspunde fără întârzieri nejustificate și, cel târziu, într-o lună de la primirea cererii (art. 12 alin. (3) din GDPR).
- Termenul poate fi prelungit cu încă două luni, dacă cererea este complexă sau există multe cereri. Persoana vizată este informată despre prelungire și despre motive în prima lună.
- De regulă, exercitarea drepturilor este gratuită. Se poate percepe o taxă rezonabilă sau cererea poate fi refuzată doar când este vădit nefondată sau excesivă, iar operatorul trebuie să demonstreze acest lucru (art. 12 alin. (5)).
- Operatorul poate cere informații suplimentare pentru a confirma identitatea celui care face cererea.
Ce face cine primește o cerere
- Recunoașteți cererea, chiar dacă vine prin e-mail, scrisoare, telefon sau verbal. Nu e nevoie să se citeze GDPR.
- Transmiteți-o imediat celui care o gestionează în firmă, precum DPO, conducerea sau persoana indicată în instrucțiuni. Termenul curge de la primire, nu de la momentul în care cineva o deschide.
- Nu răspundeți singur cu date, fără instrucțiuni. Înainte de a da orice informație, trebuie confirmată identitatea.
- Nu ștergeți și nu modificați date „ca să rezolvați problema” înainte ca firma să hotărască. O ștergere în grabă poate fi ilegală.
Persoanele decedate
Datele persoanelor decedate rămân protejate în anumite cazuri, precum datele privind sănătatea. Drepturile sunt exercitate de cine a fost desemnat de persoană în acest scop sau, în lipsă, de moștenitori (art. 17 din Lei n.º 58/2019).
Plângeri și despăgubiri
Cine consideră că drepturile i-au fost încălcate poate depune o plângere la CNPD (art. 77 din GDPR), se poate adresa instanțelor și poate cere despăgubiri pentru prejudiciile suferite (art. 82 din GDPR și art. 33 din Lei n.º 58/2019). Firmele trebuie să aibă o procedură internă pentru tratarea acestor cereri.
Rezumat: recunoașteți, transmiteți repede, confirmați identitatea și nu improvizați.