Люди, про яких компанія має дані, мають права за статтями 12–22 Загального регламенту із захисту даних. Часто саме працівники першого контакту чують про них першими: по телефону, в магазині чи в листі. Тому ви маєте знати ці права й те, що робити, коли хтось ними користується.
Права
- Інформація (статті 13 і 14): людина має знати, хто обробляє дані, навіщо, як довго та які права вона має. Зазвичай це робиться в повідомленні про конфіденційність.
- Доступ (стаття 15): людина може дізнатися, чи обробляє компанія її дані, і отримати копію та низку відомостей про обробку. Це право не повинно порушувати права інших, наприклад ви не можете віддати дані про іншу людину.
- Виправлення (стаття 16): неправильні дані треба виправити.
- Видалення (стаття 17), яке ще називають «правом бути забутим»: дані треба видалити, наприклад якщо вони більше не потрібні або згоду відкликано. Це право не діє, якщо закон вимагає, щоб компанія їх зберігала.
- Обмеження (стаття 18): дані можна лише зберігати, а не використовувати, наприклад поки вирішується спір про їхню правильність.
- Переносність даних (стаття 20): людина може отримати свої дані в поширеному, придатному для машинного читання форматі та перенести їх, якщо обробка ґрунтується на згоді чи договорі й відбувається автоматично.
- Заперечення (стаття 21): людина може заперечити проти обробки, що ґрунтується на законному інтересі чи суспільному інтересі. Проти прямого маркетингу це право безумовне: тоді компанія мусить припинити.
- Автоматизовані рішення (стаття 22): людина за загальним правилом має право не підлягати рішенню, ухваленому виключно автоматизовано, наприклад профілюванню, якщо воно має правові чи подібні суттєві наслідки.
Строк
Компанія мусить відповісти без невиправданої затримки і не пізніше ніж за місяць після отримання запиту. Строк можна продовжити ще на два місяці, якщо запит складний або їх багато. Тоді людину слід повідомити про продовження та його причину протягом першого місяця (стаття 12, частина 3). Відповідь за загальним правилом безкоштовна.
Якщо компанія не може виконати запит, вона мусить пояснити людині чому, а також що вона може поскаржитися до Datatilsynet і звернутися до суду.
Що ви робите, коли хтось про щось просить?
- Не зупиняйтеся й не відмовляйте. Запит може мати будь-яку форму, також усну чи в листі клієнта. Він не мусить згадувати GDPR.
- Негайно передайте його тому, хто у вас відповідає за запити. Строк рахується від моменту отримання.
- Не віддавайте дані самі, доки не перевірено особу. Інакше ви ризикуєте віддати дані не тій людині. Компанія може попросити необхідні відомості для підтвердження особи.
- Не видаляйте й не змінюйте дані, щоб вони виглядали краще, після того як попросили доступ. Змінювати їх, щоб щось приховати, незаконно.
Скарга та відшкодування
Людина може поскаржитися до Datatilsynet (стаття 77). Той, хто зазнав шкоди, має право на відшкодування (стаття 82). Його вирішують суди.
Пам’ятайте: місячний строк спливає, навіть коли запит лежить у вашій поштовій скриньці.