Przepisy o ochronie danych osobowych kojarzą się głównie z klikaniem w banery i podpisywaniem formularzy w przychodni. Tymczasem dają one konkretne, egzekwowalne uprawnienia wobec firm i instytucji — z których korzysta niewielki odsetek osób, głównie dlatego, że nie wie, jak to zrobić.
Podstawowe pojęcia
- Dane osobowe — każda informacja pozwalająca zidentyfikować osobę: imię i nazwisko, adres, numer telefonu, adres e-mail, identyfikator internetowy, numer klienta.
- Administrator — podmiot decydujący o celach i sposobach przetwarzania danych. To do niego kierujesz żądania.
- Podmiot przetwarzający — firma działająca na zlecenie administratora, na przykład dostawca systemu księgowego.
- Podstawa przetwarzania — powód, dla którego wolno przetwarzać dane: zgoda, umowa, obowiązek prawny, uzasadniony interes.
Kluczowa jest ostatnia pozycja. Zgoda nie jest jedyną podstawą i wcale nie najczęstszą — sklep nie potrzebuje zgody, by przetwarzać dane potrzebne do realizacji zamówienia, bo działa na podstawie umowy. Wycofanie zgody nie usunie więc danych, które są przetwarzane na innej podstawie.
Twoje uprawnienia
- Dostęp — możesz zapytać, czy i jakie dane na twój temat są przetwarzane, w jakim celu, komu są przekazywane i jak długo będą przechowywane. Administrator ma obowiązek odpowiedzieć.
- Sprostowanie — poprawienie danych nieprawidłowych lub uzupełnienie niekompletnych.
- Usunięcie — potocznie „prawo do bycia zapomnianym”. Nie jest bezwzględne: dane potrzebne do rozliczeń podatkowych czy obrony przed roszczeniami pozostaną.
- Ograniczenie przetwarzania — użyteczne, gdy kwestionujesz prawidłowość danych i chcesz zamrozić sytuację na czas wyjaśnień.
- Przenoszenie — otrzymanie danych w formacie nadającym się do odczytu maszynowego, na przykład przy zmianie usługodawcy.
- Sprzeciw — najskuteczniejsze narzędzie wobec marketingu. Wobec marketingu bezpośredniego sprzeciw jest bezwarunkowy i musi zostać uwzględniony.
Jak złożyć żądanie
Nie ma wymaganego formularza. Wystarczy wiadomość e-mail na adres kontaktowy administratora albo do inspektora ochrony danych, jeśli został wyznaczony — jego dane muszą być podane w polityce prywatności. W treści wskaż, czego dotyczy żądanie, i podaj dane pozwalające cię zidentyfikować. Administrator ma na odpowiedź miesiąc, z możliwością przedłużenia w skomplikowanych sprawach. Odpowiedź jest bezpłatna.
Co zrobić, gdy administrator milczy
Brak odpowiedzi w terminie sam w sobie stanowi naruszenie. Można wtedy złożyć skargę do organu nadzorczego zajmującego się ochroną danych osobowych. Skarga jest bezpłatna, składa się ją pisemnie lub elektronicznie, opisując stan faktyczny i dołączając korespondencję z administratorem.
Cookies i zgody na stronach
Baner zgód musi umożliwiać odrzucenie plików niekoniecznych równie łatwo, jak ich zaakceptowanie. Konstrukcja, w której „Akceptuj wszystkie” jest jednym kliknięciem, a odrzucenie wymaga przejścia przez trzy ekrany, budzi wątpliwości co do dobrowolności zgody. Zgoda musi być też konkretna i świadoma — domyślnie zaznaczone pola nie spełniają tego warunku.
Naruszenie ochrony danych
Jeżeli dojdzie do wycieku, który wiąże się z wysokim ryzykiem dla osób, administrator ma obowiązek poinformować ich bez zbędnej zwłoki, opisując charakter naruszenia i zalecane środki zaradcze. Otrzymanie takiego powiadomienia to sygnał do zmiany haseł i — przy danych finansowych — do zwiększonej czujności wobec prób wyłudzeń.
Czego przepisy nie zabraniają
Nie zabraniają wywoływania pacjentów po nazwisku, publikowania danych osób pełniących funkcje publiczne w zakresie tych funkcji ani fotografowania w przestrzeni publicznej do celów prywatnych. Wiele „zakazów” powoływanych w praktyce jest nadinterpretacją, wygodną dla instytucji, które w ten sposób unikają wysiłku organizacyjnego.
Tekst ma charakter informacyjny i nie stanowi porady prawnej.
