Jakie prawa przysługują wg RODO osobie, której dane dotyczą?
Nie wiesz, jakie konkretnie uprawnienia przysługują osobom, których dane przetwarzasz? Chciałbyś wiedzieć, w jaki sposób powinieneś reagować na poszczególne żądania zgłaszane przez takie osoby? A może zastanawiasz się, jakie są twoje prawa względem administratora danych osobowych? Z artykułu dowiesz się:
- Jakie uprawnienia przysługują osobom fizycznym względem administratora danych,
- W jaki sposób należy zareagować na żądanie osoby, której dane dotyczą,
- Jakie są ustawowe terminy odpowiedzi na żądanie,
- Czy administrator może pobierać opłaty za udzielane informacje.
Jak postępować z żądaniem
Osobie fizycznej, której dane są przetwarzane, przysługuje szereg uprawnień względem podmiotu będącego ich administratorem, tj. podmiotu, który zgromadził je oraz wykorzystuje ustalonym przez siebie celu. Poniżej wypisane zostały poszczególne uprawnienia oraz związane z nimi obowiązki administratorów. Najpierw jednak powinieneś zaznajomić się z kilkoma zasadami ogólnymi:
- jako administrator danych możesz bądź wykonać żądanie, jeżeli natomiast uznajesz, że jest ono bezpodstawne, to musisz powiadomić o tym osobę, której dane dotyczą oraz wskazać jej powody odmowy realizacji jej żądania, a także pouczyć ją o możliwości wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych oraz możliwości wystąpienia z powództwem do sądu okręgowego właściwości ogólnej pozwanego z żądaniem zaniechania działania dotyczącego jej danych osobowych lub dopełnienia przez administratora czynności potrzebnych do usunięcia skutków naruszenia praw powoda w zakresie ochrony danych osobowych, w tym poprzez zapłatę odszkodowania,
- zastosowanie się do uzasadnionego żądania oraz udzielenie odpowiedzi powinno nastąpić niezwłocznie, nie później niż w terminie 30 dni od jego otrzymania. W razie potrzeby termin ten możesz przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania musisz jednakże poinformować osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia,
- w przypadku żądań związanych z aktualizacją, sprostowaniem albo usunięciem danych osobowych, po uwzględnieniu żądania powinieneś przekazać je pozostałym podmiotom, którym przekazałeś dane osobowe tejże osoby. Podmioty te muszą również uaktualnić, bądź sprostować dane osobowe, a gdy nie mają samodzielnej podstawy ich przetwarzania, także je usunąć.
Żądania oraz sposób ich realizacji
Zgłoszenie żądania przez osobę, której dane dotyczą może zostać dokonane w formie przez nią wybranej. Będąc administratorem, o ile nic innego nie będzie wynikało z treści żądania, powinieneś je spełnić w ten sam sposób (np. drogą mailową). W poniższej tabeli przedstawiono poszczególne żądania oraz sposób ich realizacji:
| Żądanie przekazania informacji o przetwarzaniu danych osobowych | Administrator zobowiązany jest do wskazania, czy przetwarza dane osobowej takiej osoby oraz udzielenia jej informacji o:
– celach przetwarzania; – kategorii przetwarzanych danych osobowych; – informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; – w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; – informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; – informacje o prawie wniesienia skargi do organu nadzorczego; – jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; – informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. Administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. |
| Żądanie sprostowania danych | Należy uaktualnić przetwarzane dane osobowe i poinformować o tym osobę, której dane dotyczą.
Administrator ma obowiązek – według swoich możliwości – przekazać informację o sprostowaniu danych odbiorcom danych. |
| Żądanie trwałego usunięcia (tzw. prawo do bycia zapomnianym) | Administrato zobowiązany jest niezwłocznie usunąć dane osobowe, chyba że zachodzi jedna z następujących przesłanek:
– dane nadal są niezbędne do celów, dla których zostały zebrane, – w przypadku, gdy osoba żądająca usunięcia danych cofnęła zgodę ale istnieje inna podstawa do przetwarzania jej danych osobowych, – osoba wniosła sprzeciw względem przetwarzania jej danych osobowych, który nie jest zasadny, – dane osobowe nie zostały zebrane wyłącznie w związku z oferowaniem usług społeczeństwa informacyjnego, – dane osobowe są niezbędne do korzystania z prawa do wolności wypowiedzi i informacji, – dane osobowe są potrzebne do ustalenia, dochodzenia lub obrony roszczeń, – dane osobowe są niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, o ile prawdopodobne jest, że prawo to uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania. Jeżeli dane osobowe zostały przekazane innym podmiotom, Administrator danych, w miarę swoich możliwości, zobowiązany jest do poinformowania innych administratorów danych o żądaniu usunięcia wszelkich tych danych, kopii tych danych osobowych lub ich replikacji. |
| Żądanie ograniczenia przetwarzania | Żądanie należy uwzględnić, jeżeli:
– osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych; – przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania; – administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń; – d) osoba, której dane dotyczą, wniosła sprzeciw wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą. Ograniczenie przetwarzania polega na tym, że jej dane osobowe można przetwarzać, z wyjątkiem przechowywania, wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej. Administrator ma obowiązek – według swoich możliwości – przekazać informację o ograniczeniu przetwarzania odbiorcom danych. |
| Żądanie przeniesienia danych | Przysługuje ono osobie, której dane są przetwarzane w oparciu o jej zgodę, w związku z faktem zawarcia z nią umowy lub w sposób zautomatyzowany. Polega ono na tym, że osoba ta może żądać:
– otrzymania w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego dane osobowe jej dotyczące, które dostarczyła administratorowi, a następnie ma prawo przesłać te dane osobowe innemu administratorowi bez przeszkód ze strony administratora, któremu dostarczono te dane osobowe, – by dane osobowe zostały przesłane przez Administratora danych bezpośrednio innemu administratorowi, o ile jest to technicznie możliwe. Żądanie to nie przysługuje, gdy dane osobowe są niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. |
Opłata za realizację żądania
Co do zasady, nie możesz pobierać opłat za realizację żądań osoby, której dane dotyczą, nawet za dostarczonej jej kopie przetwarzanych przez ciebie danych osobowych. Istnieje jednakże kilka wyjątków od tej zasady. Mianowicie, jeżeli zgłoszone tobie żądanie – w twojej ocenie – jest ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter, możesz:
- pobrać rozsądną opłatę, uwzględniając administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań; albo
- odmówić podjęcia działań w związku z żądaniem.
Niestety, w razie sporu z osobą, której dane dotyczą, to na tobie będzie spoczywał obowiązek wykazania, że żądanie ma ewidentnie nieuzasadniony lub nadmierny charakter.
Nieco inaczej sytuacja przedstawia się z żądaniem kopi danych osobowych podlegających przetwarzaniu. Jako administrator masz obowiązek nieodpłatnie dostarczyć osobie, której dane dotyczą, kopię takich danych osobowych. Jednakże, iż za wszelkie kolejne kopie, o które zwróci się ta osoba, możesz pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych
