Persoanele ale căror date sunt păstrate au drepturi conform UK GDPR. Angajații trebuie să recunoască o cerere când sosește, pentru că poate ajunge la oricine, la orice birou, pe orice cale.
Drepturile principale
- Dreptul de a fi informat. Organizațiile trebuie să explice cum folosesc datele, de obicei într-o notă de informare.
- Dreptul de acces. O persoană poate cere o copie a datelor sale personale și informații despre cum sunt folosite. Aceasta este o cerere de acces a persoanei vizate (subject access request, SAR).
- Dreptul la rectificare. Datele inexacte sau incomplete trebuie corectate.
- Dreptul la ștergere. În anumite cazuri datele trebuie șterse. Nu este un drept absolut.
- Dreptul la restricționarea prelucrării. În anumite cazuri folosirea datelor este suspendată.
- Dreptul la portabilitatea datelor. În anumite cazuri o persoană poate primi datele pe care le-a furnizat, într-un format reutilizabil.
- Dreptul de opoziție. O persoană se poate opune anumitor utilizări, de exemplu celor bazate pe interese legitime. Dreptul de opoziție față de marketingul direct este absolut: odată ce cineva spune stop, trebuie să înceteze.
- Drepturi legate de deciziile automatizate. Există garanții pentru deciziile importante luate exclusiv prin mijloace automatizate. Legea din 2025 a schimbat unele reguli aici, dar oamenii păstrează protecții esențiale, precum dreptul de a cere reexaminarea de către o persoană.
Cum arată o cerere de acces
O SAR nu necesită un formular special sau cuvintele „subject access”. Poate fi:
- scrisă sau verbală, de exemplu într-un e-mail, o scrisoare, un mesaj pe rețelele sociale sau un apel telefonic;
- trimisă oricărei părți a organizației, nu doar unui responsabil cu protecția datelor;
- formulată simplu: „Vă rog să-mi trimiteți tot ce aveți despre mine.”
ICO spune că o organizație nu ar trebui să insiste pe un formular. O cerere trimisă persoanei greșite rămâne o cerere.
Termenul
Organizația trebuie să răspundă fără întârzieri nejustificate și în termen de o lună de la primirea cererii. Termenul începe în ziua în care cererea este primită, nu în ziua în care ajunge la persoana potrivită. De aceea trebuie să o transmiteți imediat.
Termenul poate fi prelungit cu cel mult două luni suplimentare dacă cererea este complexă sau persoana a făcut mai multe cereri. Organizația trebuie să informeze persoana în prima lună și să explice motivul. Data (Use and Access) Act 2025 permite și suspendarea termenului cât timp organizația cere persoanei să precizeze ce dorește, atunci când are cu adevărat nevoie de aceasta pentru a răspunde.
Alte aspecte
- Prima copie este de obicei gratuită. O taxă sau un refuz sunt posibile doar dacă o cerere este în mod vădit nefondată sau excesivă.
- Organizația poate trebui să verifice identitatea. Nu ar trebui să ceară mai mult decât are nevoie.
- O persoană are dreptul la datele sale în urma unei căutări rezonabile și proporționale. Legea din 2025 a inclus această formulare în lege. Ea nu permite omiterea căutării.
- Datele despre alte persoane pot trebui eliminate sau protejate. Aceasta este decizia celor care tratează cererea.
- Unele date sunt exceptate, de exemplu unele consultanțe juridice. Nu decideți singur.
- Este infracțiune să ștergeți, să ascundeți sau să modificați date pentru a împiedica dezvăluirea lor după ce s-a făcut o cerere (secțiunea 173 din DPA 2018).
Ce faceți dacă primiți o cerere
- Nu o ignorați și nu răspundeți singur.
- Notați data și cine a cerut, păstrați mesajul.
- Transmiteți-o persoanei numite în procedură în aceeași zi.
- Nu ștergeți și nu modificați înregistrările aferente.
Dacă cererea este de a corecta, de a șterge sau de a înceta folosirea datelor, urmați aceiași pași. Organizațiile trebuie să trateze și plângeri. Din 19 iunie 2026 (o modificare adusă de legea din 2025) un operator trebuie să ofere oamenilor o cale de a se plânge despre modul în care le sunt folosite datele, să confirme primirea plângerii în 30 de zile, să o soluționeze fără întârzieri nejustificate și să informeze persoana despre rezultat. Oamenii se pot plânge în continuare la ICO.