Zahtjev za pristup prema članu 15 GDPR-a: identitet, rok i kopija podataka

Zahtjev za pristup prema članu 15 GDPR-a može izgledati kao jednostavan zahtjev za dostavljanje sačuvanih podataka. U praksi se prvo mora razjasniti ko podnosi zahtjev, na koje obrade se odnosi i da li je identitet dovoljno provjeren. Nakon toga zajedno se moraju organizovati rok, pretraga i priprema kopije podataka.

Ovaj tekst opisuje postupak iz ugla preduzeća koje primi zahtjev. U središtu su prijem, provjera identiteta, rok od mjesec dana, moguće produženje i razumljiv odgovor. Građanskopravni zahtjev za polaganje računa ili opšti zahtjev za uvid u spis treba razlikovati od prava ispitanika na pristup podacima.

Član 15 GDPR-a daje ispitaniku pravo da od rukovaoca dobije potvrdu da li se obrađuju njegovi lični podaci i, ako se obrađuju, pristup tim podacima. Informacije mogu obuhvatiti svrhe obrade, kategorije ličnih podataka, primaoce ili kategorije primalaca, planirani period čuvanja ili kriterijume za njegovo određivanje i informacije o raspoloživim pravima. Relevantni mogu biti i izvor podataka i automatizovano odlučivanje.

Prva kopija ličnih podataka u pravilu se dostavlja bez naknade. Za dodatne kopije može se naplatiti razumna naknada ili se dalja obrada može odbiti kada su zahtjevi očigledno neosnovani ili pretjerani. Ovaj izuzetak treba pažljivo ispitati i ne može se zasnivati samo na tome što je pretraga zahtjevna.

Kopija podataka nije samo nesređena zbirka svih datoteka. Podaci moraju biti dostupni i razumljivi. Objašnjenja o izvorima, primaocima i čuvanju mogu pomoći ispitaniku da razumije odgovor.

Preduzeće ne smije podatke poslati bilo kojoj osobi. Rizik zamjene je naročito važan kod korisničkih naloga, podataka zaposlenih ili zdravstvenih podataka. Dodatna provjera treba da odgovara već poznatim informacijama i riziku pogrešnog otkrivanja. Ne treba da preraste u opšti zahtjev za dodatnim dokumentima.

Dodatno pitanje često može biti povezano sa već provjerenim komunikacionim kanalom ili poznatim podacima iz ugovora. Ako je potrebna isprava za identifikaciju, podatke koji nisu potrebni treba po mogućnosti prekriti. Zahtjev, dodatno pitanje, vrijeme i konačno povezivanje treba zabilježiti tako da postupak ostane razumljiv.

Ako identitet i dalje nije jasan nakon razmjernih koraka, predmet nije završen opštim odbijanjem. Objasnite koje povezivanje još nedostaje i koji bi ograničeni podatak omogućio obradu zahtjeva. Komunikacija treba ispitaniku omogućiti djelotvorno ostvarivanje prava.

Prema članu 12 stav 3 GDPR-a, na zahtjev treba odgovoriti bez nepotrebnog odlaganja, a najkasnije u roku od mjesec dana od prijema. Rok se može produžiti za najviše dva dodatna mjeseca kada je to potrebno zbog složenosti ili broja zahtjeva. Ispitanik o produženju mora biti obaviješten u roku od mjesec dana od prijema, uz navođenje razloga.

Početak roka je jedna od najvažnijih evidencija. Zabilježite kada je zahtjev primljen, kada je identitet dovoljno razjašnjen i kakva je komunikacija nakon toga uslijedila. Interno prosljeđivanje ne smije dovesti do toga da se zahtjev prepozna tek nakon više sedmica.

Ne treba čekati kraj roka da bi se pojedina odjeljenja zamolila za pretragu. Odredite ko koordinira, koja odjeljenja učestvuju i ko prije slanja provjerava potpunost kopije i prava drugih osoba.

Pretraga treba pratiti stvarne obrade. U zavisnosti od preduzeća, mogu biti važni CRM, korisnički portal, e-mail, podrška, evidencija kandidata, obračun plata, video-nadzor ili papirni spisi. Ne pretražujte samo po imenu, već i po kontaktu, broju klijenta, korisničkom imenu i ranijim načinima pisanja.

Lične podatke treba razlikovati od dokumenata koji se odnose samo na unutrašnju organizaciju. Istovremeno se podaci ne smiju izostaviti samo zato što se nalaze u internoj datoteci. Bitno je da li se odnose na ispitanika. Odgovor treba biti razumljiv i bez posebnog stručnog znanja.

Prije slanja provjerite prava i slobode drugih osoba. To može zahtijevati prekrivanje pojedinih podataka ili odvojeno prikazivanje određenog sadržaja. Poslovne tajne, obaveze čuvanja povjerljivosti i tekući postupci mogu otvoriti dodatna pitanja. Prekrivanje cijelog dokumenta bez pojedinačne procjene nije dovoljno obrazloženje.

Prijem nije zabilježen: Zahtjev poslat korisničkoj službi, rukovodiocu ili kroz kontakt-formular ne prepozna se kao zahtjev ispitanika. Potrebne su jasne interne nadležnosti i centralna evidencija roka.

Provjera identiteta je prestroga ili preslaba: Neuređen zahtjev za kopiju isprave može prikupiti nepotrebne podatke, dok nepažljivo slanje može dovesti podatke do pogrešne osobe. Provjera mora odgovarati riziku i već poznatim informacijama.

Pretražuje se samo jedan sistem: Odgovor iz CRM-a može biti nepotpun ako se ne provjere e-mail, podrška, arhiva ili kadrovske evidencije. Područja pretrage treba zabilježiti i obrazložiti.

Kopija podataka se miješa sa cijelim spisom: Član 15 GDPR-a odnosi se na lične podatke i povezane informacije koje Uredba zahtijeva. Ne mora se svaka interna bilješka prenijeti neizmijenjena, ali se relevantni lični podaci ne smiju izostaviti bez procjene.

Produženje se najavi bez razloga: Produženje zahtijeva pravovremenu obavijest i razumljive razloge. Opšta napomena o opterećenju nije dovoljno pažljivo obrazloženje.

Zahtjev prema članu 15 GDPR-a može biti povezan sa drugim zahtjevima. Ispitanik može tražiti i ispravku, brisanje ili ograničenje obrade. Ta prava imaju vlastite uslove i treba ih odvojeno evidentirati. Širi pregled prava ispitanika nalazi se na stranici o pravima ispitanika i pristupu.

Nije svaki zahtjev za dokumentima zahtjev prema članu 15 GDPR-a. Polaganje računa, prava članova društva, radni spisi ili dostavljanje cijelog ugovora mogu biti uređeni drugim pravilima. Nije odlučujući naslov koji je podnosilac upotrijebio, već sadržaj zahtjeva. Prepoznatljivi dio koji se odnosi na zaštitu podataka ne smije se previdjeti.

Kada je uključeno više preduzeća, treba pažljivo razlikovati rukovaoca, izvršioca obrade i zajedničke rukovaoce. Provjera uloga daje početnu orijentaciju. Ugovorna i stvarna saradnja ipak se moraju procijeniti u konkretnom slučaju.

Dobar odgovor prvo objašnjava da li se obrađuju lični podaci. Zatim slijede kopija podataka i informacije o svrhama, kategorijama, primaocima, čuvanju, izvoru i drugim pravima, kada su u konkretnom slučaju relevantne. Prikaz treba razlikovati same podatke od dodatnih informacija iz člana 15.

Prije slanja provjerite primaoca, priloge, prekrivene podatke i kanal slanja. Siguran kanal je posebno važan kod osjetljivih podataka. Provjerite i da li se istovremeno mora obraditi zahtjev za ispravku, brisanje ili drugo pravo ispitanika.

Za internu obradu može pomoći kontrolna lista za zahtjev za pristup. Ona ne zamjenjuje pojedinačnu pravnu procjenu, ali pomaže da se prijem, identitet, pretraga, rok, odgovor i dokumentacija obrade potpunim redoslijedom.

Mora li zahtjev za pristup imati poseban oblik? Ne. Zahtjev se uglavnom može podnijeti različitim komunikacionim kanalima. Važno je da se može prepoznati ostvarivanje prava iz člana 15 GDPR-a. Preduzeće ne treba previdjeti zahtjev samo zato što nema poseban naslov.

Počinje li rok od mjesec dana tek nakon dostavljanja lične isprave? Ne automatski. Bitni su prijem i okolnosti provjere identiteta. Dodatne informacije smiju se tražiti samo kada su potrebne za identifikaciju. Računanje roka treba zabilježiti za konkretan slučaj.

Mora li preduzeće dostaviti svaki e-mail? To zavisi od ličnih podataka u e-mailovima i prava drugih osoba. Nekontrolisano slanje cijele prepiske nije uvijek pravilno, ali ni opšte izuzimanje e-mailova nije dovoljno obrazloženo.

Zahtjev za pristup zavisi od stvarnih obrada, korištenih sistema i komunikacije sa podnosiocem. Procjenjujemo ulogu vašeg preduzeća, dokumentovanje roka i oblik kopije podataka koji odgovara predmetu. Javite nam se sa zahtjevom, dosadašnjim odgovorima i relevantnim internim dokumentima kako bi se sljedeći koraci mogli jasno odrediti.