Люди, чиї дані зберігаються, мають права за UK GDPR. Працівники мають упізнати запит, коли він надходить, адже він може потрапити до будь-кого, на будь-який стіл, будь-яким шляхом.
Основні права
- Право бути поінформованим. Організації мають пояснювати, як використовують дані, зазвичай у повідомленні про конфіденційність.
- Право доступу. Людина може попросити копію своїх персональних даних та інформацію про те, як їх використовують. Це запит суб’єкта даних на доступ (subject access request, SAR).
- Право на виправлення. Неточні або неповні дані треба виправити.
- Право на видалення. У деяких випадках дані слід видалити. Це не абсолютне право.
- Право на обмеження обробки. У деяких випадках використання даних призупиняють.
- Право на перенесення даних. У деяких випадках людина може отримати надані нею дані у форматі, придатному для повторного використання.
- Право заперечувати. Людина може заперечувати проти деяких видів використання, наприклад заснованих на законних інтересах. Право заперечувати проти прямого маркетингу абсолютне: щойно людина каже «стоп», це треба припинити.
- Права щодо автоматизованих рішень. Існують гарантії для важливих рішень, що ухвалюються лише автоматично. Закон 2025 року змінив деякі правила, але люди зберігають ключові гарантії, як-от право вимагати перегляду людиною.
Як виглядає запит на доступ
SAR не потребує спеціальної форми чи слів «subject access». Він може бути:
- письмовим або усним, наприклад в електронному листі, листі, повідомленні в соцмережі чи телефонній розмові;
- надісланим у будь-яку частину організації, а не лише відповідальній особі із захисту даних;
- сформульованим просто: «Надішліть мені, будь ласка, усе, що ви про мене маєте».
ICO каже, що організація не повинна наполягати на формі. Запит, надісланий не тій людині, все одно є запитом.
Строк
Організація має відповісти без невиправданої затримки й протягом одного місяця після отримання запиту. Відлік починається в день, коли запит отримано, а не в день, коли він потрапив до потрібної людини. Тому ви маєте передати його негайно.
Строк можна продовжити щонайбільше на два місяці, якщо запит складний або людина подала кілька запитів. Організація має повідомити людину протягом першого місяця й пояснити причину. Data (Use and Access) Act 2025 також дозволяє призупинити відлік, поки організація просить людину уточнити, що їй потрібно, якщо це справді необхідно для відповіді.
Інші моменти
- Перша копія зазвичай безкоштовна. Плату чи відмову можна застосувати лише якщо запит явно необґрунтований або надмірний.
- Організації може знадобитися перевірити особу. Вона не повинна просити більше, ніж потрібно.
- Людина має право на свої дані після розумного й пропорційного пошуку. Закон 2025 року вніс це формулювання до закону. Воно не дозволяє пропустити пошук.
- Дані про інших людей може знадобитися вилучити або захистити. Це рішення тих, хто опрацьовує запит.
- Деякі дані підпадають під виняток, наприклад певні юридичні поради. Не вирішуйте цього самі.
- Кримінальним правопорушенням є видалення, приховування або зміна даних, щоб не допустити їх розкриття після надходження запиту (розділ 173 DPA 2018).
Що робити, коли ви отримали запит
- Не ігноруйте його й не відповідайте самі.
- Занотуйте дату й автора, збережіть повідомлення.
- Передайте особі, названій у вашій процедурі, того ж дня.
- Не видаляйте й не редагуйте пов’язані записи.
Якщо запит стосується виправлення, видалення чи припинення використання даних, дійте так само. Організації мають також розглядати скарги. З 19 червня 2026 року (зміна, внесена законом 2025 року) контролер має надати людям спосіб поскаржитися на використання їхніх даних, підтвердити отримання скарги протягом 30 днів, розглянути її без невиправданої затримки й повідомити людині результат. Люди й надалі можуть скаржитися до ICO.