Klient, pracownik, były pracownik albo kandydat do pracy może zwrócić się do firmy z pytaniem, jakie dane na jego temat są przetwarzane. Może również poprosić o przekazanie kopii danych.
Takiego wniosku nie można zignorować tylko dlatego, że został przesłany zwykłym e-mailem, nie zawiera podstawy prawnej albo nie użyto w nim określenia „RODO”.
Czego może żądać osoba?
Osoba, której dane dotyczą, może uzyskać potwierdzenie, czy administrator przetwarza jej dane osobowe. Jeżeli dane są przetwarzane, ma prawo uzyskać do nich dostęp oraz informacje dotyczące między innymi:
- celów przetwarzania,
- kategorii danych,
- odbiorców danych,
- planowanego okresu przechowywania,
- przysługujących praw,
- źródła danych, jeżeli nie zebrano ich bezpośrednio od osoby,
- zautomatyzowanego podejmowania decyzji, jeśli ma zastosowanie.
Osoba może również otrzymać kopię swoich danych osobowych. Prawo dostępu jest jednym z praw przewidzianych przez RODO, obok prawa do sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych czy wniesienia sprzeciwu.
W jakiej formie może wpłynąć wniosek?
RODO nie wymaga, aby wniosek został złożony na specjalnym formularzu. Może wpłynąć:
- pocztą tradycyjną,
- e-mailem,
- przez formularz kontaktowy,
- osobiście,
- za pośrednictwem innego używanego przez firmę kanału.
Pracownicy, szczególnie osoby z recepcji, sekretariatu, kadr i obsługi klienta, powinni potrafić rozpoznać taki wniosek i przekazać go właściwej osobie.
Ile czasu ma administrator?
Administrator powinien odpowiedzieć bez zbędnej zwłoki, najpóźniej w terminie miesiąca od otrzymania żądania.
W sprawach skomplikowanych albo przy większej liczbie wniosków termin może zostać przedłużony maksymalnie o kolejne dwa miesiące. Osoba musi jednak zostać poinformowana o przedłużeniu i jego przyczynach jeszcze przed upływem pierwszego miesiąca.
Jak obsłużyć wniosek krok po kroku?
- Zarejestrować datę wpływu
Termin liczy się od otrzymania wniosku, dlatego należy od razu zarejestrować jego wpływ i przekazać go osobie odpowiedzialnej.
- Ustalić zakres żądania
Wniosek może dotyczyć wszystkich danych albo określonego procesu, na przykład dokumentacji pracowniczej, historii zakupów czy nagrań rozmów.
Jeżeli zakres żądania jest niejasny, można poprosić osobę o jego doprecyzowanie. Nie powinno to jednak służyć nieuzasadnionemu opóźnianiu odpowiedzi.
- Zweryfikować tożsamość
Dane nie mogą zostać przekazane przypadkowej osobie. Jeżeli istnieją uzasadnione wątpliwości dotyczące tożsamości wnioskodawcy, administrator może poprosić o dodatkowe informacje.
Sposób weryfikacji powinien być proporcjonalny do ryzyka. Nie należy automatycznie żądać skanu dowodu osobistego, jeżeli tożsamość można potwierdzić w mniej ingerujący sposób.
- Odnaleźć dane we wszystkich właściwych miejscach
Dane mogą znajdować się nie tylko w głównym systemie, lecz także w:
- skrzynkach e-mail,
- dokumentacji papierowej,
- systemach kadrowych i księgowych,
- nagraniach rozmów,
- systemach monitoringu,
- kopiach roboczych,
- zasobach przechowywanych przez procesorów.
W obsługę wniosku mogą więc zostać zaangażowane różne działy organizacji.
- Zweryfikować prawa innych osób
Realizacja prawa dostępu nie może naruszać praw i wolności innych osób. Przed przekazaniem materiałów należy sprawdzić, czy zawierają one dane pracowników, klientów, członków rodziny lub informacje objęte prawnie chronioną tajemnicą.
W razie potrzeby dane innych osób powinny zostać odpowiednio ukryte.
- Przygotować zrozumiałą odpowiedź
Odpowiedź powinna być przejrzysta, konkretna i napisana prostym językiem. Nie wystarczy przesłać przypadkowych zrzutów ekranów albo ogólnej polityki prywatności.
Jeżeli osoba żąda kopii danych, należy przekazać dane jej dotyczące w czytelnej formie. Nie zawsze oznacza to konieczność przekazania kopii całych dokumentów, jeżeli ten sam cel można osiągnąć w inny sposób.
Czy za realizację wniosku można pobrać opłatę?
Co do zasady realizacja praw wynikających z RODO jest bezpłatna. Opłata może być rozważana w szczególnych przypadkach, gdy żądania są ewidentnie nieuzasadnione lub nadmierne, zwłaszcza ze względu na ich ustawiczny charakter.
To administrator powinien być w stanie wykazać, dlaczego uznał żądanie za nadmierne.
Najczęstsze błędy administratorów
Do częstych problemów należą:
- przeoczenie wniosku przesłanego na zwykły adres e-mail,
- błędne liczenie terminu,
- nadmierne żądanie dokumentów tożsamości,
- odpowiedź obejmująca tylko jeden system,
- przekazanie danych innych osób,
- utożsamianie kopii danych z kopią każdego dokumentu,
- brak rejestru wniosków i dokumentacji podjętych czynności.
Potrzebujesz wsparcia w realizacji żądania?
Pomagamy analizować wnioski, ustalać ich zakres, przygotowywać odpowiedzi oraz tworzyć procedury i rejestry obsługi praw osób.
Dzięki uporządkowanemu procesowi firma może działać terminowo i ograniczyć ryzyko nieprawidłowego ujawnienia danych.