Prenositeľnosť údajov

Čo to znamená

Prenositeľnosť údajov je právo dotknutej osoby dostať osobné údaje, ktoré sama poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a preniesť ich k inému prevádzkovateľovi. GDPR ho dáva len tam, kde sa údaje spracúvajú na základe súhlasu alebo zmluvy a automatizovanými prostriedkami.

Nie je to to isté ako právo na prístup: prístup dáva kópiu v čitateľnej podobe, prenositeľnosť dáva export, ktorý vie načítať iný systém. Nie je to ani právo na výmaz, lebo prenesením sa u pôvodného prevádzkovateľa nemaže nič.

Do rozsahu patria údaje, ktoré osoba zadala sama, aj tie, ktoré o nej systém zaznamenal pri používaní služby, napríklad história objednávok. Nepatria sem odvodené údaje, ktoré prevádzkovateľ vytvoril vlastnou analýzou, ako hodnotenie bonity alebo zaradenie zákazníka do segmentu.

Ako to funguje v praxi

Žiadosť vybavuje zodpovedná osoba alebo poverený zamestnanec, spravidla do jedného mesiaca od doručenia; pri zložitej alebo opakovanej žiadosti sa lehota dá predĺžiť o dva mesiace, ak sa to žiadateľovi oznámi. Vybavenie je bezplatné.

V účtovníctve a na mzdách sa právo uplatní zriedka: mzdové a účtovné záznamy sa spracúvajú pre zákonnú povinnosť a tam prenositeľnosť nesiaha. Ak údaje spracúva externá firma, ide to cez zmluvu o spracúvaní: export pripraví sprostredkovateľ, zodpovedá však prevádzkovateľ.

Pri e-shope alebo online službe je rozumné mať export pripravený ako funkciu systému, nie ho zostavovať ručne pri každej žiadosti. Klientom odporúčame dohodnúť formát, napríklad CSV alebo JSON, a overiť, že export obsahuje len údaje žiadateľa a odchádza zabezpečenou cestou.

Na čo si dať pozor

Drahá chyba je poslať namiesto výberu údajov celý súbor alebo surový export z mzdového systému, v ktorom sú aj iní ľudia. To je porušenie ochrany osobných údajov s oznámením Úradu na ochranu osobných údajov do 72 hodín, informovaním dotknutých osôb a pokutou, ktorá je rádovo vyššia ako náklad na poriadne pripravený export.

Ďalším rizikom je odovzdať údaje niekomu, kto sa za dotknutú osobu len vydáva. Prevádzkovateľ musí totožnosť žiadateľa primerane overiť; ak export pošle podvodníkovi, ide o porušenie ochrany osobných údajov so všetkými povinnosťami, ktoré z neho vyplývajú.