Dotknutá osoba

Čo to znamená

Dotknutá osoba je v jazyku GDPR každá žijúca fyzická osoba, ktorej osobné údaje sa spracúvajú. Vo firme sú to zamestnanci a bývalí zamestnanci, uchádzači o prácu, zákazníci, kontaktné osoby u dodávateľov a odberateľov, návštevníci webu či ľudia zachytení kamerovým systémom. Právnická osoba dotknutou osobou nie je.

GDPR dáva dotknutým osobám súbor práv: právo byť informovaný o spracúvaní, právo na prístup k údajom, na opravu, na vymazanie, na obmedzenie spracúvania, na prenosnosť, právo namietať a právo nebyť predmetom výlučne automatizovaného rozhodnutia.

Práva nie sú absolútne. Firma nemusí vymazať údaje, ktoré musí uchovávať zo zákona, napríklad mzdové listy či účtovné doklady, a nemusí vyhovieť zjavne neopodstatnenej či opakovanej žiadosti. Vždy však musí žiadosť posúdiť a odpovedať.

Ako to funguje v praxi

Firma ako prevádzkovateľ musí odpovedať na žiadosť dotknutej osoby bez zbytočného odkladu, najneskôr do jedného mesiaca, pri zložitých prípadoch s predĺžením o ďalšie dva mesiace, o ktorom treba žiadateľa informovať. Odporúčame mať jednoduchý postup, kto žiadosti prijíma a kto ich vybavuje.

Pred vydaním údajov treba overiť totožnosť žiadateľa, aby sa údaje nedostali k nesprávnej osobe. Pri žiadosti bývalého zamestnanca o kópiu osobného spisu sa napríklad vydajú jeho údaje, ale nie interné hodnotenia iných ľudí či obchodné tajomstvo firmy.

Základom je informačná povinnosť: dotknuté osoby musia vedieť, kto ich údaje spracúva, na aký účel, na akom právnom základe a ako dlho. Pre zamestnancov sa to rieši informáciou pri nástupe, pre zákazníkov zásadami ochrany osobných údajov na webe.

Na čo si dať pozor

Najčastejšou chybou je ignorovať žiadosť, lebo prišla bežným e-mailom či cez sociálnu sieť. Žiadosť nemá predpísanú formu a lehota plynie od jej doručenia. Nevybavená žiadosť je častým dôvodom sťažnosti na Úrad na ochranu osobných údajov.

Druhou chybou je vydať viac, než žiadateľ požaduje, napríklad celú e-mailovú komunikáciu, v ktorej sú osobné údaje iných ľudí. Aj to je porušenie GDPR. Pri citlivých žiadostiach je lepšie údaje tretích osôb anonymizovať či začierniť.