Jakie uprawnienia ma osoba, której dane dotyczą?

W dobie cyfryzacji ochrona danych osobowych stała się kluczowym aspektem funkcjonowania każdej organizacji przetwarzającej informacje o swoich klientach, pracownikach czy partnerach biznesowych. Rozporządzenie o Ochronie Danych Osobowych (RODO) wprowadziło szereg uprawnień dla osób, których dane są przetwarzane. Poznanie tych praw jest niezbędne zarówno dla podmiotów przetwarzających dane, jak i dla samych zainteresowanych. W tym artykule przyjrzymy się szczegółowo, jakie uprawnienia przysługują osobom, których dane dotyczą i jak można z nich skutecznie korzystać.

Prawo dostępu do danych

Jednym z fundamentalnych uprawnień wynikających z RODO jest prawo dostępu do własnych danych osobowych. Oznacza to, że każda osoba ma możliwość uzyskania od administratora potwierdzenia, czy jej dane są przetwarzane, a jeśli tak, to w jakim zakresie i celu.

Realizując to prawo, możemy zażądać kopii przetwarzanych danych. Administrator musi dostarczyć te informacje w przystępnej formie, zwykle w ciągu miesiąca od otrzymania żądania. Warto wiedzieć, że pierwsza kopia danych powinna być bezpłatna, natomiast za kolejne administrator może pobierać rozsądną opłatę.

Prawo dostępu obejmuje również informacje o planowanym okresie przechowywania danych lub kryteriach ustalania tego okresu, a także o źródle ich pozyskania, jeśli nie zostały zebrane bezpośrednio od osoby, której dotyczą.

Profesjonalny audyt RODO może pomóc organizacjom w weryfikacji, czy ich procedury dostępu do danych są zgodne z wymogami prawnymi.

Prawo do sprostowania danych

Każdy z nas ma prawo do posiadania poprawnych i aktualnych danych osobowych w systemach, w których są one przetwarzane. RODO gwarantuje prawo do sprostowania nieaktualnych lub nieprawidłowych danych bez zbędnej zwłoki.

To uprawnienie jest szczególnie istotne w kontekście danych, które mogą wpływać na decyzje podejmowane wobec nas, np. danych finansowych czy zdrowotnych. Administrator danych jest zobowiązany do niezwłocznego wprowadzenia korekty po otrzymaniu takiego żądania.

Warto podkreślić, że prawo do sprostowania obejmuje również uzupełnienie niekompletnych danych, co może być realizowane poprzez przedstawienie dodatkowego oświadczenia.

Prawo do usunięcia danych („prawo do bycia zapomnianym”)

W określonych przypadkach osoba, której dane dotyczą, może zażądać ich całkowitego usunięcia z systemów administratora. To uprawnienie, znane również jako „prawo do bycia zapomnianym”, ma zastosowanie szczególnie gdy:

– Dane nie są już niezbędne do celów, dla których zostały zebrane
– Osoba wycofała swoją zgodę na przetwarzanie danych
– Dane były przetwarzane niezgodnie z prawem
– Istnieje prawny obowiązek usunięcia danych

Administrator musi niezwłocznie usunąć takie dane, chyba że istnieją nadrzędne prawnie uzasadnione podstawy do ich dalszego przetwarzania, np. obowiązek prawny czy dochodzenie roszczeń.

Co ważne, jeśli administrator upublicznił dane osobowe, ma obowiązek poinformować innych administratorów o żądaniu usunięcia wszelkich łączy do tych danych, ich kopii lub replikacji.

Prawo do ograniczenia przetwarzania

Mniej znanym, ale równie ważnym uprawnieniem jest prawo do ograniczenia przetwarzania danych. Osoba, której dane dotyczą, może zażądać czasowego wstrzymania operacji na swoich danych w kilku sytuacjach:

– Gdy kwestionuje prawidłowość danych (na czas weryfikacji)
– Gdy przetwarzanie jest niezgodne z prawem, ale osoba sprzeciwia się usunięciu danych
– Gdy administrator nie potrzebuje już danych, ale są one potrzebne osobie do ustalenia, dochodzenia lub obrony roszczeń
– Gdy osoba wniosła sprzeciw wobec przetwarzania (do czasu weryfikacji, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne)

W okresie ograniczenia przetwarzania administrator może jedynie przechowywać dane, inne operacje wymagają zgody osoby lub występowania szczególnych okoliczności prawnych.

Kompleksowe usługi RODO pomagają firmom w prawidłowym wdrożeniu mechanizmów realizacji prawa do ograniczenia przetwarzania.

Prawo do przenoszenia danych

W erze cyfrowej często korzystamy z różnych usług i platform, między którymi chcemy przenosić nasze dane. RODO uwzględnia tę potrzebę, wprowadzając prawo do przenoszenia danych osobowych.

Prawo to pozwala na otrzymanie swoich danych w ustrukturyzowanym, powszechnie używanym formacie, nadającym się do odczytu maszynowego. Co więcej, osoba może żądać przesłania tych danych bezpośrednio do innego administratora, o ile jest to technicznie możliwe.

To uprawnienie ma zastosowanie, gdy przetwarzanie odbywa się na podstawie zgody lub umowy oraz jest realizowane w sposób zautomatyzowany. Nie obejmuje natomiast danych, które administrator przetwarza na podstawie swojego prawnie uzasadnionego interesu lub obowiązku prawnego.

Prawo do sprzeciwu

Kolejnym istotnym uprawnieniem jest prawo do sprzeciwu wobec przetwarzania danych. Osoba może w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – gdy przetwarzanie odbywa się:

– Na podstawie prawnie uzasadnionego interesu administratora
– W celu wykonania zadania realizowanego w interesie publicznym
– W ramach sprawowania władzy publicznej

Po otrzymaniu sprzeciwu administrator musi zaprzestać przetwarzania danych, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą.

Szczególną formą tego prawa jest możliwość sprzeciwu wobec przetwarzania danych w celach marketingu bezpośredniego, w tym profilowania. W tym przypadku administrator musi bezwzględnie zaprzestać takiego przetwarzania.

Prawo do niepodlegania zautomatyzowanym decyzjom, w tym profilowaniu

W świecie, gdzie algorytmy i sztuczna inteligencja odgrywają coraz większą rolę, istotne jest prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołuje skutki prawne lub w podobny sposób istotnie wpływa na daną osobę.

Przykładami takich decyzji mogą być automatyczne odrzucenie wniosku kredytowego online czy elektroniczna rekrutacja bez udziału człowieka. Osoba, której dane dotyczą, ma prawo zakwestionować taką decyzję i zażądać interwencji ludzkiej, wyrażenia własnego stanowiska oraz zakwestionowania decyzji.

Istnieją wyjątki od tego prawa, m.in. gdy decyzja jest niezbędna do zawarcia lub wykonania umowy, jest dozwolona prawem Unii lub państwa członkowskiego, lub opiera się na wyraźnej zgodzie osoby.

Prawo do informacji o naruszeniu ochrony danych

Nie każdy wie, że RODO przyznaje również prawo do bycia poinformowanym o naruszeniu ochrony danych osobowych. Jeśli dojdzie do naruszenia, które może powodować wysokie ryzyko dla praw i wolności osób, których dane dotyczą, administrator ma obowiązek bez zbędnej zwłoki zawiadomić te osoby.

Powiadomienie powinno jasno i zrozumiale opisywać charakter naruszenia oraz zawierać informacje o możliwych konsekwencjach i środkach podjętych w celu zaradzenia naruszeniu. Powinno również zawierać dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego.

Wyjątkiem od tego obowiązku są sytuacje, gdy administrator wdrożył odpowiednie środki ochrony (np. szyfrowanie), podjął działania eliminujące ryzyko lub gdy powiadomienie wymagałoby niewspółmiernie dużego wysiłku.

Jak skutecznie korzystać z przysługujących praw?

Znajomość swoich uprawnień to dopiero pierwszy krok – równie ważna jest umiejętność skutecznego korzystania z nich. Oto kilka praktycznych wskazówek:

1. Identyfikuj administratora danych – zanim złożysz wniosek, upewnij się, kto jest administratorem Twoich danych i gdzie kierować żądanie.

2. Formułuj precyzyjne żądania – jasno określ, z którego prawa chcesz skorzystać i czego dokładnie oczekujesz od administratora.

3. Zachowaj dowody komunikacji – prowadź korespondencję w formie pisemnej i przechowuj jej kopie, co może być pomocne w przypadku ewentualnych sporów.

4. Przestrzegaj procedur administratora – wiele organizacji ma określone procedury realizacji praw osób, których dane dotyczą; zapoznanie się z nimi może przyspieszyć proces.

5. Znaj terminy – administrator powinien odpowiedzieć na Twoje żądanie bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (z możliwością przedłużenia o kolejne dwa miesiące w uzasadnionych przypadkach).

6. W razie problemów, kontaktuj się z organem nadzorczym – jeśli Twoje prawa nie są respektowane, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Świadomość i umiejętność korzystania z przysługujących praw w zakresie ochrony danych osobowych to w dzisiejszych czasach niezbędny element dbania o swoją prywatność i bezpieczeństwo w cyfrowym świecie.