Люди, чиї дані обробляють, мають права. Працівник є суб’єктом власних даних, а також нерідко тим, хто отримує запити клієнтів, пацієнтів чи колег. Тому важливо знати ці права й те, що робити, коли хтось ними користується.
Основні права
- Інформація (статті 13 і 14 GDPR): знати, хто обробляє дані, навіщо, як довго й кому їх передають.
- Доступ (стаття 15): знати, чи обробляють дані про вас, і отримати їхню копію та інформацію про обробку.
- Виправлення (стаття 16): виправити неточні дані або доповнити неповні.
- Видалення (стаття 17): вимагати видалення даних у певних ситуаціях, наприклад коли вони вже не потрібні.
- Обмеження обробки (стаття 18): призупинити використання даних, доки вирішується спір.
- Перенесення даних (стаття 20): отримати надані вами дані в структурованому форматі й, якщо хочете, передати їх іншому контролеру. Закон Lei n.º 58/2019 (стаття 18) обмежує це право даними, наданими самим суб’єктом даних.
- Заперечення (стаття 21): заперечити проти обробки за певних умов, наприклад проти прямого маркетингу.
- Право не підлягати автоматизованим рішенням зі значними наслідками (стаття 22).
Деякі права мають межі. Якщо закон встановлює строк зберігання, видалення можна вимагати лише після нього (стаття 21 пункт 5 закону Lei n.º 58/2019).
Строки та витрати
- Контролер відповідає без невиправданої затримки і щонайпізніше протягом одного місяця від отримання запиту (стаття 12 пункт 3 GDPR).
- Цей строк можна продовжити ще на два місяці, якщо запит складний або запитів багато. Суб’єкта даних інформують про продовження та його причини протягом першого місяця.
- Як правило, користування правами безоплатне. Розумну плату можна стягнути або запит відхилити лише тоді, коли він явно необґрунтований чи надмірний, і контролер має це довести (стаття 12 пункт 5).
- Контролер може попросити додаткову інформацію, щоб підтвердити особу того, хто звертається.
Що робити, коли ви отримали запит
- Розпізнайте запит, навіть якщо він надійшов електронною поштою, листом, телефоном чи усно. Посилатися на GDPR не обов’язково.
- Негайно передайте його тому, хто займається ним у компанії, наприклад DPO, керівництву чи особі, названій в інструкціях. Строк відлічують від отримання, а не від моменту, коли хтось його відкрив.
- Не відповідайте самі даними без інструкції. Перш ніж давати будь-яку інформацію, треба підтвердити особу.
- Не видаляйте й не змінюйте дані, щоб «розв’язати проблему», доки компанія не вирішила. Видалення нашвидкуруч може бути незаконним.
Померлі особи
Дані померлих осіб у певних випадках залишаються захищеними, як-от дані про здоров’я. Права здійснює той, кого людина для цього призначила, а за його відсутності — спадкоємці (стаття 17 закону Lei n.º 58/2019).
Скарги та відшкодування
Хто вважає, що його права порушено, може подати скаргу до CNPD (стаття 77 GDPR), звернутися до судів і вимагати відшкодування завданої шкоди (стаття 82 GDPR і стаття 33 закону Lei n.º 58/2019). Компанії повинні мати внутрішню процедуру розгляду таких запитів.
Підсумок: розпізнати, швидко передати, підтвердити особу й не імпровізувати.