Субъект данных

Что это значит

Субъект данных на языке GDPR - любое живое физическое лицо, персональные данные которого обрабатываются. В фирме это работники и бывшие работники, кандидаты на работу, клиенты, контактные лица поставщиков и покупателей, посетители сайта или люди, попавшие в объектив видеонаблюдения. Юридическое лицо субъектом данных не является.

GDPR даёт субъектам данных набор прав: право на информацию об обработке, право на доступ к данным, на исправление, на удаление, на ограничение обработки, на переносимость, право возражать и право не подвергаться решению, основанному исключительно на автоматизированной обработке.

Права не абсолютны. Фирма не обязана удалять данные, которые должна хранить по закону, например зарплатные листы или бухгалтерские документы, и не обязана удовлетворять явно необоснованную или повторную просьбу. Но она всегда должна оценить просьбу и ответить.

Как это работает на практике

Фирма как оператор должна ответить на запрос субъекта данных без неоправданной задержки, не позднее одного месяца, а в сложных случаях с продлением ещё на два месяца, о котором нужно сообщить заявителю. Мы советуем иметь простую процедуру, кто принимает запросы и кто их обрабатывает.

Перед выдачей данных нужно проверить личность заявителя, чтобы данные не попали не к тому человеку. При запросе бывшего работника о копии личного дела, например, выдают его данные, но не внутренние оценки других людей или коммерческую тайну фирмы.

Основа - обязанность информировать: субъекты данных должны знать, кто обрабатывает их данные, с какой целью, на каком правовом основании и как долго. Для работников это решают информацией при приёме, для клиентов - политикой конфиденциальности на сайте.

На что обратить внимание

Самая частая ошибка - игнорировать запрос, потому что он пришёл обычным письмом или через соцсеть. У запроса нет предписанной формы, и срок идёт с момента получения. Необработанный запрос - частая причина жалобы в Управление по защите персональных данных.

Вторая ошибка - выдать больше, чем просят, например всю переписку, где есть персональные данные других людей. Это тоже нарушение GDPR. При чувствительных запросах данные третьих лиц лучше анонимизировать или закрасить.