GDPR dă fiecărui om drepturi asupra datelor sale. Ele se aplică clienților, elevilor, pacienților, angajaților și tuturor celorlalți. Ca angajat, puteți primi o solicitare sau puteți dori să vă exercitați singur drepturile.
Dreptul la informare
Potrivit articolelor 13 și 14, oamenii trebuie să afle cine le prelucrează datele, de ce, pe ce temei, cât timp sunt păstrate și ce drepturi au. Aceasta se face adesea într-o notă de informare sau într-o fișă de informare. Dacă datele nu provin de la persoană, informarea trebuie făcută într-un termen rezonabil și cel târziu într-o lună.
Dreptul de acces (extras din registru)
Potrivit articolului 15, persoana vizată are dreptul să afle dacă datele sale sunt prelucrate. Are și dreptul de a primi o copie a datelor și informații despre scop, destinatari, perioada de stocare și sursa datelor. Prima copie este gratuită.
Celelalte drepturi
- Rectificare (articolul 16): datele inexacte trebuie rectificate, iar cele incomplete trebuie completate.
- Ștergere, „dreptul de a fi uitat” (articolul 17): datele trebuie șterse, printre altele, când nu mai sunt necesare sau când consimțământul este retras. Dreptul nu este absolut. Datele pe care legea cere să fie păstrate nu pot fi șterse.
- Restricționare (articolul 18): datele pot fi doar stocate temporar, de exemplu cât timp se examinează o rectificare.
- Portabilitate (articolul 20): în anumite cazuri, dreptul de a primi datele într-un format care poate fi citit automat și de a le transfera.
- Opoziție (articolul 21): dreptul de a se opune prelucrării bazate pe interes legitim sau pe interes public. Împotriva marketingului direct există un drept absolut de opoziție, iar prelucrarea trebuie atunci să înceteze.
- Decizii automate (articolul 22): o persoană are dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată, care produce efecte juridice sau o afectează în mod similar într-o măsură semnificativă.
Cât de repede trebuie să răspundem?
Potrivit articolului 12, organizația trebuie să răspundă fără întârzieri nejustificate și cel târziu într-o lună. Termenul poate fi prelungit cu încă două luni dacă cererea este complicată sau dacă au fost primite multe cereri, dar persoana vizată trebuie atunci să afle acest lucru în prima lună. Răspunsul trebuie să fie de regulă gratuit. În cazul cererilor vădit nefondate sau excesive, organizația poate percepe o taxă sau poate refuza.
Termenul se calculează din ziua în care organizația primește cererea. Nu începe deci abia când o citește persoana potrivită.
Cum tratați o cerere
- Recunoașteți-o. O cerere nu trebuie să menționeze GDPR. „Ce date aveți despre mine?” sau „Ștergeți-mi datele” sunt suficiente. Poate sosi prin e-mail, scrisoare, telefon, chat sau într-un magazin.
- Transmiteți-o imediat persoanei desemnate de organizație, de exemplu responsabilului cu protecția datelor sau unei funcții pentru chestiuni de protecție a datelor.
- Nu modificați și nu ștergeți nimic pentru a evita să le arătați. Nu este permis.
- Nu comunicați datele singur, dacă nu aveți sarcina să o faceți. Organizația trebuie mai întâi să verifice dacă cel care întreabă este într-adevăr persoana la care se referă datele.
- Nu refuzați din proprie inițiativă. Decizia aparține organizației și poate fi necesară o apreciere a ceea ce poate fi comunicat.
Plângeri și control judiciar
Cine consideră că regulile nu sunt respectate poate depune o plângere la IMY (articolul 77). Se poate adresa și instanței și poate cere despăgubiri (articolul 82) dacă a suferit un prejudiciu.