GDPR дає людям, суб’єктам даних, чіткі права щодо їхніх даних. Будь-який працівник може зіткнутися із запитом, наприклад біля прилавка, по телефону чи в листі. Ви маєте вміти його розпізнати й одразу передати тому, хто має ним займатися.
Основні права (ст. 15–22 GDPR)
- Доступ (ст. 15): дізнатися, чи обробляються дані, отримати копію та знати цілі, одержувачів і строк.
- Виправлення (ст. 16): виправити чи доповнити неправильні дані.
- Видалення, так зване «право бути забутим» (ст. 17): домогтися видалення даних у певних випадках, наприклад коли вони більше не потрібні або згоду відкликано. Воно не абсолютне: дані, які закон велить зберігати, треба зберегти.
- Обмеження (ст. 18): вимагати, щоб дані лише зберігалися, наприклад поки перевіряють їхню точність.
- Перенесення даних (ст. 20): отримати у структурованому форматі надані дані, коли обробка ґрунтується на згоді чи договорі й автоматизована.
- Заперечення (ст. 21): заперечити проти обробки на підставі законного чи публічного інтересу, а проти прямого маркетингу — завжди.
- Не підлягати рішенням, прийнятим виключно автоматизовано, із суттєвими наслідками (ст. 22).
Є також право відкликати згоду будь-коли (ст. 7).
Строк у один місяць
Контролер має відповісти без невиправданої затримки й щонайпізніше протягом місяця після отримання запиту. У складних випадках строк можна продовжити ще на два місяці, але людину треба повідомити про продовження протягом першого місяця (ст. 12 п. 3). Відповідь, як правило, безоплатна.
Місяць починається з моменту, коли запит отримала компанія, навіть якщо він дійшов лише до одного працівника. Тому важливо, як швидко ви його передасте.
Як розпізнати запит
Не потрібні ні особливі формулювання, ні форма. Людина може сказати:
- «Хочу знати, які дані про мене у вас є».
- «Видаліть мій номер із вашого списку».
- «Я більше не хочу отримувати ваші пропозиції».
- «У моїй адресі помилка, виправте її».
Він може надійти листом, поштою, по телефону, у соцмережах або біля віконця. Якщо фраза звучить як запит щодо даних, ставтеся до неї як до запиту.
Що робите ви
- Вислухайте й занотуйте: хто це, чого просить, коли і як звернувся.
- Не відповідайте по суті самі й не обіцяйте строків. Не передавайте дані по телефону незнайомій людині.
- Одразу передайте запит відповідальній особі з питань конфіденційності, DPO чи тому, кого вказала компанія.
- Не видаляйте й не змінюйте дані «щоб швидко закрити питання»: видалення поза процедурою може знищити те, що закон велить зберігати.
Перевірка особи
Перш ніж давати дані тому, хто їх просить, треба бути певним, що це справді суб’єкт даних (ст. 12 п. 6). Передати копію даних людині, яка вдає з себе іншу, — це порушення безпеки даних. Контролер може попросити інформацію, потрібну для підтвердження особи, але лише таку.
Дані інших людей
Право доступу стосується власних даних. Не можна розкривати дані інших людей: наприклад, у копії внутрішнього документа імена третіх осіб слід закреслити, якщо немає причини цього не робити. Вирішує контролер, а не ви.
Скарга та відшкодування
Хто вважає свої права порушеними, може подати скаргу до Garante (ст. 77 GDPR) або звернутися до суду (ст. 79) і вимагати відшкодування шкоди (ст. 82). Повільна чи неввічлива відповідь на простий запит може призвести до скарги.