GDPR дає кожній людині права щодо її даних. Вони стосуються клієнтів, учнів, пацієнтів, працівників і всіх інших. Як працівник ви можете отримати запит або самі захотіти скористатися цими правами.
Право на інформацію
Згідно зі статтями 13 і 14 люди мають дізнатися, хто обробляє їхні дані, навіщо, на якій підставі, як довго їх зберігають і які в них права. Це часто роблять у повідомленні про конфіденційність або інформаційному листку. Якщо дані походять не від самої людини, інформацію слід надати в розумний строк, щонайпізніше протягом місяця.
Право доступу (витяг із реєстру)
Згідно зі статтею 15 суб’єкт даних має право дізнатися, чи обробляють його дані. Він також має право на копію даних та інформацію про мету, одержувачів, строк зберігання й джерело даних. Перша копія безкоштовна.
Інші права
- Виправлення (стаття 16): неточні дані слід виправити, а неповні — доповнити.
- Видалення, «право бути забутим» (стаття 17): дані слід видалити, зокрема коли вони більше не потрібні або згоду відкликано. Це право не абсолютне. Дані, які закон вимагає зберігати, видаляти не можна.
- Обмеження (стаття 18): дані тимчасово можна лише зберігати, наприклад поки розглядається виправлення.
- Перенесення даних (стаття 20): у деяких випадках право отримати свої дані в машинозчитуваному форматі й перенести їх.
- Заперечення (стаття 21): право заперечувати проти обробки на підставі законного чи суспільного інтересу. Проти прямого маркетингу існує абсолютне право заперечення, і обробку тоді слід припинити.
- Автоматизовані рішення (стаття 22): людина має право не підлягати рішенню, що ґрунтується лише на автоматизованій обробці та має правові наслідки або подібним чином істотно на неї впливає.
Як швидко ми маємо відповісти?
Згідно зі статтею 12 організація має відповісти без невиправданої затримки й щонайпізніше протягом місяця. Строк можна продовжити ще на два місяці, якщо запит складний або надійшло багато запитів, але суб’єкт даних має дізнатися про це протягом першого місяця. Відповідь зазвичай має бути безкоштовною. У разі явно необґрунтованих або надмірних запитів організація може стягнути плату чи відмовити.
Строк відлічують від дня, коли організація отримала запит. Він не починається лише тоді, коли його прочитає потрібна людина.
Як діяти із запитом
- Розпізнайте його. Запит не мусить згадувати GDPR. Достатньо «Які дані ви маєте про мене?» або «Видаліть мої дані». Він може надійти електронною поштою, листом, телефоном, у чаті чи в магазині.
- Негайно передайте його тому, кого призначила організація, наприклад відповідальній особі із захисту даних або підрозділу, що опікується захистом даних.
- Нічого не змінюйте й не видаляйте, щоб не довелося це показувати. Це заборонено.
- Не надавайте дані самі, якщо вам це не доручено. Організація має спершу перевірити, що той, хто питає, справді є людиною, якої стосуються дані.
- Не відмовляйте на власний розсуд. Це рішення організації, і може знадобитися оцінка, що можна надати.
Скарги та судовий захист
Той, хто вважає, що правила не дотримуються, може подати скаргу до IMY (стаття 77). Також можна звернутися до суду й вимагати відшкодування (стаття 82), якщо завдано шкоди.