Згідно зі статтями 12–22 GDPR люди мають низку прав. Право може реалізувати у вашій компанії клієнт, кандидат на роботу, учень чи колега. Часто ви дізнаєтеся про це першим, бо запит надходить електронною поштою, телефоном чи до віконця.
Права
- Інформація (статті 13 і 14): хто обробляє дані, навіщо, як довго та які права має людина. Зазвичай у формі повідомлення про конфіденційність.
- Доступ (стаття 15): людина має право дізнатися, чи обробляють її дані, і отримати їх копію та іншу інформацію. Перша копія безкоштовна. Це не повинно порушувати права інших, тому дані третіх осіб не розкривають.
- Виправлення (стаття 16): неточні дані виправляють, неповні доповнюють.
- Видалення (стаття 17), «право бути забутим»: дані видаляють, наприклад, коли вони вже не потрібні або коли людина відкликала згоду. Це не діє, якщо контролер мусить зберігати їх за законом.
- Обмеження обробки (стаття 18): дані лише зберігають, наприклад, поки з’ясовують їхню точність.
- Переносність (стаття 20): за обробки на підставі згоди чи договору й автоматизованим способом людина може отримати дані у структурованому, загальновживаному форматі.
- Заперечення (стаття 21): людина може заперечити проти обробки на підставі законного інтересу та проти прямого маркетингу. Обробку для маркетингу треба зупинити завжди.
- Автоматизоване прийняття рішень (стаття 22): людина має право не підлягати рішенню, ґрунтованому виключно на автоматизованій обробці, що має для неї правові або подібні суттєві наслідки.
Строк: один місяць
Контролер мусить відповісти на запит без невиправданої затримки, щонайпізніше протягом одного місяця з його отримання. Строк можна продовжити ще на два місяці, якщо це необхідно з огляду на складність і кількість запитів. Про продовження людину повідомляють протягом місяця разом із причинами (стаття 12 частина 3). Строк обчислюється з моменту надходження запиту до контролера. На практиці це діє, навіть якщо запит прийняв будь-який працівник, а не лише відповідальна особа.
Що маєте робити ви
- Розпізнайте запит. Він не мусить містити слів «GDPR» чи «стаття 15». Досить «хочу знати, що ви про мене маєте» або «видаліть мене з бази».
- Не обробляйте його самі, якщо не маєте вказівки. Негайно передайте його призначеній особі, відповідальній особі із захисту даних чи керівникові за внутрішніми правилами. Запишіть, коли запит надійшов.
- Перевірте особу. Контролер має бути певен, що дані отримає той, кого вони стосуються. Інакше він міг би віддати дані шахраєві. У разі сумнівів він може вимагати додаткової інформації.
- Не обіцяйте видалення чи видачі. Це вирішує контролер, який оцінює винятки.
Запити зазвичай безкоштовні. Якщо запит явно необґрунтований або надмірний, наприклад повторюваний, контролер може вимагати розумну плату або відмовити. Відмову мусить обґрунтувати й роз’яснити можливість подати скаргу.
Скарга до Управління
Якщо людина невдоволена, вона може подати скаргу до Управління із захисту персональних даних (стаття 77 GDPR) або звернутися до суду. Право на відшкодування згідно зі статтею 82 має кожен, хто зазнав матеріальної чи нематеріальної шкоди внаслідок порушення регламенту.
Телефон і віконце
Коли той, хто телефонує, хоче інформацію про іншу особу, наприклад «чи працює у вас пан Новак?», без перевірки її не повідомляйте. Завжди спершу з’ясуйте, з ким говорите і яка в нього причина. У разі сумнівів запропонуйте передзвонити.
Що запам’ятати
- Запит не мусить називатися «згідно з GDPR». Досить, щоб він був зрозумілий.
- Строк — місяць, у виняткових випадках разом до трьох місяців.
- Запит негайно передайте за внутрішніми правилами.
- Перш ніж видати дані, перевірте особу.