Люди мають права на свої дані, і ви можете отримати запит, коли його не чекаєте: у магазині, у школі, у відділі кадрів чи електронною поштою. Уміння розпізнати запит і вчасно передати його допомагає уникнути штрафів.
Права
- Доступ (стаття 15 GDPR): дізнатися, чи обробляють їхні дані, і отримати копію разом з інформацією про обробку.
- Виправлення (стаття 16): виправити неточні дані або доповнити неповні.
- Видалення (стаття 17): вимагати стерти дані, коли вони вже не потрібні, коли згоду відкликано або коли їх обробляли незаконно. Це не абсолютне право: компанія може зберігати дані, які закон зобов’язує її зберігати.
- Заперечення (стаття 21): заперечувати проти обробки на підставі законного інтересу чи завдання в суспільних інтересах, а проти реклами (прямого маркетингу) — будь-коли.
- Перенесення (стаття 20): отримати свої дані у структурованому, загальновживаному форматі, коли обробка ґрунтується на згоді чи договорі й є автоматизованою.
- Обмеження (стаття 18): вимагати, щоб дані зберігали, але не використовували, наприклад поки перевіряють їхню точність.
Існує також право не підпадати під рішення, засноване виключно на автоматизованій обробці, що має суттєві наслідки (стаття 22).
Строк: один місяць
Контролер має відповісти щонайпізніше протягом місяця від отримання запиту (стаття 12.3 GDPR). Якщо запит складний або їх багато, строк можна продовжити ще на два місяці, але людину треба повідомити про затримку та її причини протягом першого місяця.
Виконання права є безоплатним. Розумну плату можна стягнути або відмовитися діяти лише тоді, коли запити явно необґрунтовані чи надмірні, і компанія має вміти це обґрунтувати.
Що робити, якщо вам надійшов запит
- Розпізнайте його. Людина не мусить посилатися на закон чи користуватися бланком. Фрази на кшталт «хочу знати, які дані про мене у вас є» чи «видаліть мої дані» — це вже запит.
- Не ігноруйте його й не залишайте у вхідних. Строк починається від моменту, коли запит отримала компанія, навіть якщо його отримали саме ви.
- Негайно передайте його особі чи відділу, яких призначила ваша компанія, або відповідальній особі із захисту даних, якщо вона є.
- Не відповідайте самостійно і не передавайте дані тому, хто просить їх по телефону, поки не перевірено його особу.
Перевірка особи
Перш ніж передати дані, треба бути певним, що їх просить саме та людина, кого вони стосуються. Якщо є обґрунтовані сумніви, компанія може попросити додаткову інформацію для підтвердження (стаття 12.6). Це один із найпоширеніших способів витоку: хтось видає себе за іншу людину й просить її дані.
Скарга до AEPD
Якщо компанія не відповідає, відповідає погано чи із запізненням, людина може подати скаргу до Іспанського агентства із захисту даних (стаття 77 GDPR і LOPDGDD) та звернутися до суду. AEPD може наказати виконати право й оштрафувати того, хто цього не зробив.
Пам’ятайте: щодо прав годинник іде від моменту, коли хтось у компанії отримує запит. Перешліть його того ж дня.