Právo na obmedzenie spracúvania

Čo to znamená

Právo na obmedzenie spracúvania je právo dotknutej osoby podľa GDPR požadovať, aby prevádzkovateľ jej osobné údaje dočasne len uchovával a ďalej ich nepoužíval. Údaje sa nevymažú, ale označia ako obmedzené a môžu sa spracúvať len so súhlasom osoby alebo z dôvodov, ktoré GDPR výslovne pripúšťa.

Právo sa uplatní v štyroch situáciách: osoba napadne správnosť údajov a prevádzkovateľ ju overuje, spracúvanie je nezákonné, ale osoba nechce vymazanie, prevádzkovateľ údaje už nepotrebuje, ale osoba ich potrebuje na uplatnenie právnych nárokov, alebo osoba vzniesla námietku a posudzuje sa, či prevažujú dôvody prevádzkovateľa.

Obmedzenie je teda akýmsi zmrazením údajov. Dopĺňa právo na opravu a právo namietať, pretože počas ich vybavovania chráni osobu pred tým, aby sa s potenciálne nesprávnymi alebo sporne spracúvanými údajmi ďalej pracovalo.

Ako to funguje v praxi

Technicky môže obmedzenie znamenať presun údajov do oddeleného systému, zablokovanie prístupu používateľom, dočasné stiahnutie zverejnených údajov alebo jasné označenie v databáze. Dôležité je, aby sa údaje omylom nepoužili napríklad v marketingovej kampani či pri automatickom spracovaní.

Prevádzkovateľ musí odpovedať spravidla do jedného mesiaca a pred zrušením obmedzenia o tom osobu informovať. Ak údaje predtým poskytol iným príjemcom, oznámi im obmedzenie, pokiaľ to nie je nemožné alebo neprimerane náročné.

Firma by mala mať vnútorný postup na vybavovanie žiadostí dotknutých osôb, ktorý pokrýva aj obmedzenie. V CRM či účtovnom systéme pomáha príznak, ktorý zabráni ďalšiemu spracovaniu konkrétneho záznamu bez toho, aby sa musel mazať.

Na čo si dať pozor

Obmedzenie nie je dôvodom na neplnenie zákonných povinností. Údaje potrebné na účtovníctvo či dane sa musia uchovávať aj naďalej a prevádzkovateľ ich môže spracúvať na obranu právnych nárokov, aj keď je spracúvanie inak obmedzené.

Pri obmedzení treba dbať aj na zálohy a kópie v iných systémoch. Ak sa údaje obmedzia v hlavnej databáze, no ďalej sa používajú z exportu v tabuľke, prevádzkovateľ právo osoby porušuje, aj keď to nebolo úmyselné.