Регламент надає кожному права щодо організацій, які обробляють дані про нього. Як працівник, ви маєте ці права самі, а ще можете першим отримати запит від клієнта чи колеги.
Права
- Інформація (статті 13 і 14): право знати, як використовуються дані.
- Доступ (стаття 15): право дізнатися, чи обробляє організація дані про вас, отримати копію та знати цілі, одержувачів і строк зберігання.
- Виправлення (стаття 16): неточні дані слід виправити, а неповні можна доповнити.
- Видалення (стаття 17, «право бути забутим»): у певних випадках, наприклад коли дані більше не потрібні або згоду відкликано. Це право не є абсолютним. Якщо закон вимагає від організації зберігати дані, видалення не застосовується.
- Обмеження (стаття 18): дані зберігаються, але далі не використовуються, поки вирішується спір.
- Перенесення даних (стаття 20): право отримати дані, які ви самі надали, у поширеному машинозчитуваному форматі. Стосується автоматизованої обробки на підставі згоди або договору.
- Заперечення (стаття 21): проти обробки на підставі законного інтересу чи публічного завдання, а проти прямого маркетингу — завжди.
- Автоматизовані рішення (стаття 22): право не підпадати під рішення, що ґрунтується виключно на автоматизованій обробці, зокрема профілюванні, якщо воно має правові чи подібні суттєві наслідки. Є винятки, наприклад коли рішення необхідне для договору або ґрунтується на прямій згоді. Тоді ви, як правило, маєте право на те, щоб справу оцінила людина, висловити свою думку й оскаржити рішення.
Строк: один місяць
Організація має відповісти без невиправданої затримки і не пізніше ніж за один місяць після отримання запиту (стаття 12, пункт 3). Строк можна продовжити ще на два місяці, якщо запит складний або запитів багато, але особу треба повідомити про це протягом першого місяця з поясненням причин.
Загальне правило: відповідь безкоштовна. Організація може стягнути розумну плату або відмовити лише тоді, коли запит явно необґрунтований чи надмірний.
Що робити, якщо ви отримали запит?
Запит не мусить містити певних слів. Якщо клієнт пише «Я хочу побачити, що ви про мене зберігаєте» або «видаліть мене», це запит про права.
- Не ігноруйте його. Строк іде від дня, коли організація отримала запит, навіть якщо він потрапив до вас.
- Негайно перешліть його відповідальній особі із захисту даних або службі, яку визначила організація, і запишіть дату отримання.
- Нічого не передавайте самі, якщо вам цього не доручили. Спершу треба з’ясувати, хто запитує.
- Нічого не обіцяйте, за що не можете відповісти, як-от видалення всього.
Перевірка особи
Організація має переконатися, що запитує потрібна людина. Інакше шахрай міг би отримати доступ до чужих даних, а це саме по собі порушення. Якщо певності немає, організація може попросити необхідну додаткову інформацію для підтвердження особи. Клієнт не повинен надсилати більше, ніж потрібно, а ідентифікаційний номер зазвичай вимагати не слід.
Коли в документі є чужі дані
Право доступу не повинно порушувати права інших. Якщо в документі є відомості про інших осіб, їх часто треба закрити перед надсиланням копії. Це роблять відповідальні в організації, а не окремий працівник самостійно.
Скарга до Datatilsynet
Якщо організація не відповіла або відмовила без поважної причини, особа може подати скаргу до Datatilsynet. Рішення Datatilsynet, як правило, можна оскаржити до Personvernnemnda (норвезької апеляційної ради із захисту даних, § 22 закону про персональні дані). Особа може також звернутися до суду й вимагати відшкодування (урок 9).