Práva dotknutých osôb: ako zvládnuť žiadosti podľa GDPR

Príde vám e-mail: „Žiadam o výmaz všetkých mojich údajov“ alebo „chcem vedieť, čo o mne evidujete“. V tej chvíli sa vo firmách dejú dve veci. Buď sa e-mail ticho odloží v nádeji, že to odosielateľ nechá tak, alebo nastane malá panika a niekto začne zháňať, kde všade tie údaje vlastne sú.

Pritom žiadosť dotknutej osoby nie je útok ani zbytočná byrokracia. Je to test, či máte poriadok vo vlastných údajoch. Firma, ktorá vie, aké údaje má a kde sú, vybaví takú žiadosť za pár minút. Firma, ktorá to nevie, strávi týždeň naháňaním a aj tak si nie je istá, či niečo neprehliadla. Zvládnuté práva dotknutých osôb nie sú o právnickej ekvilibristike, sú o tom, či máte prehľad.

Aké práva má dotknutá osoba podľa GDPR?

GDPR dáva ľuďom sadu práv voči tomu, kto spracúva ich údaje. Netreba ich vedieť naspamäť, ale treba ich vedieť rozoznať, keď žiadosť príde.

Právo na prístup (čl. 15) znamená, že človek sa môže spýtať, či a aké údaje o ňom spracúvate, na aký účel a komu ich poskytujete, a má nárok na ich kópiu. Právo na opravu (čl. 16) rieši nesprávne alebo neúplné údaje. Právo na výmaz (čl. 17), známe aj ako právo na zabudnutie, umožňuje za istých podmienok žiadať odstránenie údajov. Právo na obmedzenie (čl. 18) je taká „pauza“, keď sa údaje dočasne nesmú ďalej spracúvať, napríklad kým sa vyrieši spor o ich správnosť. Právo na prenosnosť (čl. 20) sa týka údajov, ktoré človek sám poskytol a ktoré spracúvate automatizovane na základe súhlasu alebo zmluvy, a umožňuje mu preniesť ich inam. A právo namietať (čl. 21) dovoľuje človeku vzoprieť sa spracúvaniu, ktoré staviate na oprávnenom záujme alebo verejnom záujme.

Dokedy musíte na žiadosť odpovedať?

Toto je číslo, ktoré si treba zapamätať: jeden mesiac. GDPR žiada reagovať bez zbytočného odkladu, najneskôr do jedného mesiaca od doručenia žiadosti. Reagovať pritom neznamená len vyhovieť, znamená to aj oznámiť, ako ste žiadosť vybavili, prípadne prečo ste jej nevyhoveli.

Lehotu možno predĺžiť najviac o ďalšie dva mesiace, teda spolu na tri, ale len ak je to odôvodnené zložitosťou alebo počtom žiadostí, a musíte o predĺžení a jeho dôvode informovať dotknutú osobu do jedného mesiaca. Nemôžete teda mlčky nechať ubehnúť mesiac a potom si „dobrať“ ďalšie dva. Práve premeškaná lehota je jedna z najčastejších formálnych chýb, ktorú úrad vidí okamžite.

Je vybavenie žiadosti spoplatnené?

Spravidla nie, žiadosti sa vybavujú bezplatne. GDPR ale myslí aj na zneužitie. Ak je žiadosť zjavne neopodstatnená alebo neprimeraná, najmä ak sa opakuje dokola, môžete buď účtovať primeraný poplatok, ktorý pokrýva náklady, alebo žiadosť odmietnuť. Táto výnimka je úzka a dôkazné bremeno, že žiadosť naozaj bola neprimeraná, je na vás, takže sa na ňu nespoliehajte ako na bežnú prax.

Ešte jedna dôležitá vec: ak máte dôvodné pochybnosti o totožnosti žiadateľa, môžete si vyžiadať dodatočné informácie na jej overenie. Nesmiete tým ale žiadosť umelo brzdiť. Overenie totožnosti je ochrana údajov, nie zdržiavacia taktika.

Musíte vždy vymazať údaje, keď o to niekto požiada?

Nie, a toto je asi najväčšie nedorozumenie okolo práv. Právo na výmaz nie je absolútne. GDPR výslovne pozná situácie, keď údaje vymazať nemusíte, ba dokonca nesmiete, aj keď o to dotknutá osoba žiada.

Typickým prípadom je zákonná povinnosť údaje uchovávať, napríklad účtovné a daňové doklady musíte držať stanovený počet rokov bez ohľadu na to, že vás zákazník žiada o výmaz. Ďalším je situácia, keď údaje potrebujete na uplatnenie alebo obhajobu právnych nárokov. V takom prípade žiadosti nevyhoviete v plnom rozsahu, ale musíte človeku vysvetliť, prečo. Rozdiel medzi „vymažeme všetko“ a „toto zo zákona uchovávame, zvyšok mažeme“ je presne to, čo odlišuje firmu, ktorá právam rozumie, od tej, ktorá len reaguje v panike. Ktorý údaj na akom základe držíte, vyplynie z vašich právnych základov.

Ako reagovať na námietku proti priamemu marketingu?

Tu je naopak právo úplne jednoznačné. Ak dotknutá osoba namietne proti spracúvaniu na účely priameho marketingu, musíte prestať, bez výnimky a bez posudzovania. Toto právo je absolútne. V praxi to znamená funkčné a jednoduché odhlásenie z každého marketingového e-mailu. Súvisí to s tým, čo sme rozobrali pri súhlase: marketing často staviate na oprávnenom záujme, ale právo namietať proti nemu má človek vždy.

Čo ak žiadosť nevybavíte?

Dotknutá osoba, ktorá nie je spokojná s tým, ako ste jej žiadosť vybavili (alebo nevybavili), sa môže obrátiť na Úrad na ochranu osobných údajov Slovenskej republiky so sťažnosťou (čl. 77 GDPR). Úrad to môže prešetriť a v krajnom prípade uložiť pokutu.

Väčšia škoda ako pokuta je ale zvyčajne strata dôvery. Ignorovaná žiadosť je pre zákazníka signál, že s jeho údajmi narábate ležérne, a to sa šíri rýchlejšie než akékoľvek rozhodnutie úradu. Preto sa na žiadosti oplatí pozerať nie ako na hrozbu, ale ako na príležitosť ukázať, že máte poriadok.

Čo je potrebné vyriešiť najskôr

Kľúčové je pripraviť sa skôr, než príde prvá žiadosť, nie improvizovať, keď už tiká lehota. V pokoji si prejdite, kde všade máte osobné údaje, teda systémy, tabuľky, e-maily, papierové zložky, a spíšte si jednoduchý postup: kto žiadosť prijme, ako overíte totožnosť, kde údaje nájdete a v akej lehote odpoviete. Tento prehľad je v podstate ten istý, ktorý potrebujete do záznamu o spracovateľských činnostiach, takže prácu spravíte raz a poslúži viac ráz.

Tu zvyčajne zaznie námietka: „nám nikto žiadosti neposiela, načo sa tým zaoberať?“ Lenže stačí jeden nespokojný zákazník alebo zamestnanec a lehota začne bežať, či ste pripravení, alebo nie. Toto je situácia, s ktorou sa v projektoch stretávam: firma prvú žiadosť dostane práve vtedy, keď to najmenej čaká, a improvizácia pod tlakom mesačnej lehoty je presne to, čo vedie k chybám a k sťažnostiam.

Ak si chcete nastaviť jednoduchý a funkčný postup na vybavovanie žiadostí a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.