Суб’єкт даних

Що це означає

Суб’єкт даних мовою GDPR - будь-яка жива фізична особа, персональні дані якої обробляються. У фірмі це працівники й колишні працівники, кандидати на роботу, клієнти, контактні особи постачальників і покупців, відвідувачі сайту чи люди, що потрапили в об’єктив відеоспостереження. Юридична особа суб’єктом даних не є.

GDPR дає суб’єктам даних набір прав: право на інформацію про обробку, право на доступ до даних, на виправлення, на видалення, на обмеження обробки, на перенесення, право заперечувати й право не бути об’єктом рішення, ухваленого виключно на основі автоматизованої обробки.

Права не абсолютні. Фірма не мусить видаляти дані, які мусить зберігати за законом, наприклад зарплатні листи чи бухгалтерські документи, і не мусить задовольняти явно необґрунтоване чи повторне прохання. Але вона завжди має оцінити запит і відповісти.

Як це працює на практиці

Фірма як оператор має відповісти на запит суб’єкта даних без невиправданої затримки, не пізніше одного місяця, а в складних випадках із подовженням ще на два місяці, про яке треба повідомити заявника. Радимо мати просту процедуру, хто приймає запити й хто їх опрацьовує.

Перед видачею даних треба перевірити особу заявника, щоб дані не потрапили не до тієї людини. Під час запиту колишнього працівника про копію особової справи, наприклад, видають його дані, але не внутрішні оцінки інших людей чи комерційну таємницю фірми.

Основа - обов’язок інформувати: суб’єкти даних мають знати, хто обробляє їхні дані, з якою метою, на якій правовій підставі і як довго. Для працівників це вирішують інформацією під час прийняття, для клієнтів - політикою конфіденційності на сайті.

На що звернути увагу

Найчастіша помилка - ігнорувати запит, бо він надійшов звичайним листом чи через соцмережу. Запит не має приписаної форми, і строк спливає з моменту отримання. Неопрацьований запит - часта причина скарги до Управління із захисту персональних даних.

Друга помилка - видати більше, ніж просять, наприклад усе листування, де є персональні дані інших людей. Це теж порушення GDPR. За чутливих запитів дані третіх осіб краще анонімізувати чи зафарбувати.