GDPR дає кожному права щодо його персональних даних. Як працівник ви маєте ці права самі й можете першим отримати запит від клієнта чи колеги.
Права
- Право бути поінформованим (статті 13 і 14): знати, як використовують дані.
- Право доступу (стаття 15): дізнатися, чи організація використовує дані про них, отримати копію та дізнатися про цілі, отримувачів і строк зберігання.
- Право на виправлення (стаття 16): щоб неточні дані виправили, а неповні — доповнили.
- Право на видалення (стаття 17, «право бути забутим»): у визначених випадках, наприклад коли дані більше не потрібні або згоду відкликано. Воно не абсолютне. Якщо закон вимагає зберігати дані, вони залишаються.
- Право на обмеження обробки (стаття 18): щоб дані зберігали, але не використовували, поки вирішується спір.
- Право на перенесення даних (стаття 20): отримати надані ними дані у поширеному машиночитному форматі, якщо використання ґрунтується на згоді або договорі й автоматизоване.
- Право заперечувати (стаття 21): проти обробки на підставі законних інтересів чи публічного завдання, а проти прямого маркетингу — завжди.
- Права щодо автоматизованих рішень (стаття 22): не підпадати під рішення, засноване виключно на автоматизованій обробці, включно з профілюванням, яке має правові або подібні суттєві наслідки, з певними винятками. Люди можуть вимагати перегляду людиною.
Запити суб’єкта даних на доступ (SAR)
Запит не мусить містити жодних особливих слів, форми чи терміна «доступ суб’єкта даних». Він може надійти електронною поштою, листом, телефоном, через соцмережі або особисто й може бути адресований будь-якому працівникові. «Чи можу я отримати все, що ви про мене маєте?» — дійсний SAR. Запит через адвоката чи іншу особу з дорученням людини також дійсний.
Строк: один місяць
Організація мусить відповісти без невиправданої затримки й у будь-якому разі протягом одного місяця після отримання запиту (стаття 12(3)). Строк можна продовжити щонайбільше на два місяці для складних або численних запитів, але людину треба повідомити протягом першого місяця із зазначенням причин. Відлік починається, коли запит надійшов, а не коли він дійшов до потрібного столу. Саме тому передати його треба того ж дня.
Що робити, якщо ви отримали такий запит
- Не ігноруйте його й не відповідайте самі, якщо це не ваша роль.
- Негайно перешліть особі чи команді, названій у процедурі роботодавця, як-от DPO чи відповідальний за захист даних.
- Занотуйте дату й спосіб отримання.
- Ніколи не видаляйте й не змінюйте записи після надходження запиту, щоб уникнути розкриття. Це нівелює право доступу, може призвести до дисциплінарного стягнення і завжди погіршує ситуацію.
Правила для організації
- SAR зазвичай безкоштовний. Розумну плату можна стягнути лише за явно необґрунтований чи надмірний запит або за додаткові копії, а організація може відмовити в такому запиті, пояснивши чому.
- Вона може вимагати підтвердження особи, якщо це обґрунтовано.
- Вона не може передавати дані інших людей без правової підстави, тому працівники закривають або утримують те, що слід.
- Деяку інформацію можна утримати на підставі винятків у Data Protection Act 2018, наприклад матеріали, що охороняються адвокатською таємницею. Застосування таких винятків — рішення DPO чи юридичного радника.
- Якщо вона відмовляє, мусить пояснити чому та повідомити людину, що вона може поскаржитися до DPC і звернутися до суду.
Працівники та SAR
Працівники можуть вимагати власні особові справи, листи, де про них згадано, і нотатки про них. Подумайте, перш ніж писати про колегу чи клієнта в листі або нотатці: її, можливо, доведеться розкрити. Пишіть так, ніби людина це прочитає.
Скарги та засоби захисту
Люди можуть поскаржитися до DPC (стаття 77). Вони також можуть подати до суду позов про захист даних, а Data Protection Act 2018 (розділ 117) дозволяє суду присудити компенсацію за матеріальну чи нематеріальну шкоду, як-от моральні страждання.
Що запам’ятати
- SAR можна подати будь-кому й у будь-якій формі. Передайте його того ж дня.
- Строк — один місяць, з можливістю продовжити на два місяці у складних випадках.
- Зазвичай він безкоштовний.
- Ніколи не знищуйте й не змінюйте записи після надходження запиту.