Zahtjev za pristup s podacima trećih lica: prekrivanje umjesto općeg odbijanja

Zahtjev za pristup ne treba u cijelosti odbiti samo zato što dokumenti sadrže i informacije o drugim osobama. Član 15 stav 4 GDPR-a zahtijeva da se uzmu u obzir prava i slobode tih osoba. U praksi je zato često potrebna posebna procjena, prekrivanje pojedinih dijelova ili djelimično pripremljena kopija ličnih podataka.

Ovaj tekst je namijenjen organizacijama koje obrađuju zahtjev za pristup u kojem se pojavljuju e-mailovi, bilješke o razgovoru, poruke ili druge informacije o trećim licima. U fokusu su provjera identiteta, određivanje skupa podataka, zaštita tuđih informacija, jednomjesečni rok i jasan odgovor. Opći postupak po članu 15 GDPR-a ostaje odvojeno pitanje.

Član 15 stav 1 GDPR-a odnosi se na lične podatke koji se tiču podnosioca zahtjeva. Zahtjev zato može biti sadržan u e-mailu, bilješci sa sastanka ili predmetu koji se odnosi i na više drugih osoba. Prvo odredite koje informacije se tiču podnosioca i koje dodatne informacije iz člana 15 treba uključiti u odgovor.

Skup podataka uredite prema postupku obrade, sistemu i periodu. Kod e-mailova ili razgovora putem poruka cijela poruka nije automatski isto što i potpuna kopija spisa. Odgovor ipak mora obuhvatiti lične podatke i relevantne informacije o svrhama, kategorijama podataka, primaocima, periodu čuvanja, porijeklu i drugim pravima ispitanika.

Zahtjev može istovremeno sadržati ispravku, brisanje ili drugo traženje dokumentacije. Ta pitanja evidentirajte odvojeno. Opći vodič za pristup prema članu 15 GDPR-a objašnjava osnovni postupak. Ovaj tekst se usmjerava na dodatnu procjenu kada rezultati pretrage sadrže informacije o drugim osobama.

Član 12 stav 2 GDPR-a obavezuje voditelja obrade da olakša ostvarivanje prava ispitanika. Član 12 stav 6 dopušta dodatne informacije kada postoje opravdane sumnje u identitet fizičkog lica. Zato dodatni upit treba povezati s konkretnim rizikom pogrešne identifikacije i ograničiti ga na ono što je potrebno za tu svrhu.

Najprije pregledajte postojeće veze, kao što su provjeren korisnički račun, poznati kontaktni podaci ili ranija komunikacija. Što su podaci osjetljiviji i što je veći rizik da budu dostavljeni pogrešnoj osobi, to provjera mora biti pažljivija. Kopija ličnog dokumenta ne treba postati standardni odgovor kada je dovoljan blaži način provjere.

Prijem zahtjeva evidentirajte odvojeno od kasnijeg vremena pretrage. Sačuvajte zahtjev, dodatni upit, primljene informacije i odluku o identitetu s datumima. Tako se može pratiti šta je provjereno prije dostavljanja podataka i kako je organizovan jednomjesečni rok.

Član 15 stav 4 GDPR-a ograničava pravo na kopiju kada bi bila ugrožena prava i slobode drugih osoba. Time se zahtijeva konkretno odmjeravanje. Sama oznaka „podaci trećih lica“ ne znači da se cijeli zahtjev može automatski blokirati.

Za svaki rezultat pretrage zabilježite koje se informacije odnose na podnosioca, koje opisuju drugu osobu i koji interesi mogu biti pogođeni. To mogu biti kontaktni podaci, privatne okolnosti, lične procjene ili izjave u komunikaciji. Odgovor mora uzeti u obzir konkretan sadržaj i konkretan rizik.

Zapis o procjeni treba pokazati zašto je informacija dostavljena, odvojena ili uskraćena. Oznaka „podaci trećih lica“ sama po sebi ne objašnjava odluku. Ni činjenica da dokument potiče od više osoba ne rješava pitanje. Odlučujuća je konkretna informacija i njen uticaj na prava druge osobe.

Prekrivanje može biti odgovarajući način da se dostavi kopija podataka, a da se istovremeno zaštite informacije o trećim licima. Primjenjuje se na konkretan dokument i konkretni dio teksta. Potpuno prekriven dokument može ograničiti zahtjev jednako kao i nekontrolisano slanje svega.

Provjerite mogu li se imena, kontaktni podaci ili pojedinačne izjave odvojiti, a da se sačuvaju lični podaci podnosioca i njihovo značenje. Polja u strukturiranom zapisu mogu zahtijevati različit tretman. Kod dužih poruka možda treba kratko objasniti informacije podnosioca, dok se dijelovi o drugim osobama štite.

Odgovor treba jasno objasniti djelimičan pristup. Navedite koja je kopija podataka dostavljena, činjenično opišite preostala ograničenja, a potpuno obrazloženje zadržite u internom zapisu. Objašnjenje mora ostati razumljivo, ali ne smije ponovo otkriti zaštićeni sadržaj.

Član 12 stav 3 GDPR-a zahtijeva postupanje bez nepotrebnog odlaganja i u svakom slučaju u roku od mjesec dana od prijema zahtjeva. Kada je potrebno zbog složenosti ili broja zahtjeva, rok se može produžiti za najviše dva dodatna mjeseca. Podnosilac mora u prvom mjesecu biti obaviješten o produženju i razlozima.

Podaci trećih lica mogu povećati posao pretrage i procjene jer se pojedinačni dokumenti i komunikacije moraju posebno pregledati. Sama činjenica da je posao veći nije dovoljna. Evidentirajte koji izvori su obuhvaćeni, koja procjena zaštite je potrebna i zbog čega je obrada složena.

Ako voditelj obrade ne postupi po zahtjevu, član 12 stav 4 GDPR-a traži obavijest bez odlaganja, a najkasnije u roku od mjesec dana, uz razloge i informacije o pravu na pritužbu nadzornom organu i sudsku zaštitu. Kod djelimičnog pristupa treba jasno objasniti i preostala ograničenja.

Član 15 stav 3 GDPR-a zahtijeva dostavljanje kopije ličnih podataka koji se obrađuju. Kada je zahtjev podnesen elektronski, informacije treba dostaviti u uobičajenom elektronskom formatu, osim ako podnosilac traži drugačije. Sirovi izvoz iz baze podataka nije automatski jasan odgovor.

Kopiju podataka uredite prema izvoru ili postupku obrade i kratko objasnite vezu. Dodajte informacije iz člana 15 stav 1 koje su važne za konkretan slučaj. Posebno provjerite da se prekrivanje ne može jednostavno ukloniti i da svojstva datoteke ili komentari ne otkrivaju dodatne informacije o trećim licima.

Prije slanja provjerite primaoca, sigurnu dostavu, priloge i čitljivost. Prva kopija se u pravilu dostavlja bez naknade. Za dodatne kopije i očigledno neosnovane ili pretjerane zahtjeve važe posebna pravila člana 12 stav 5 i člana 15 stav 3 GDPR-a. Ta pitanja treba odvojiti od zaštite podataka trećih lica.

Počnite kopijom zahtjeva i bilješkom o prijemu. Evidentirajte ispitanika, kanal komunikacije, postojeću identifikaciju, tražene podatke i dodatna pitanja. Zatim odredite izvore pretrage, period i odgovorne osobe.

Označite rezultate koji sadrže informacije o drugim osobama i pregledajte ih pojedinačno. Zabilježite dostavljanje, razdvajanje, prekrivanje ili preostalo ograničenje uz kratak razlog. Zapis treba pokazati i koje informacije trećih lica su zaštićene pripremom odgovora.

Završni zapis treba obuhvatiti obračun roka, eventualnu obavijest o produženju, kopiju podataka, dodatne informacije, kontrolu slanja i objašnjenje ograničenja. Kod složenih poruka pravna provjera pomaže da zaštita trećih lica ne ograniči neosnovano pravo pristupa i da se ne proširi izvan potrebnog obima.

Provjeravamo zahtjev, identifikaciju, skup za pretragu, informacije o trećim licima, prekrivanja, rok, kopiju podataka i odgovor prema stvarnom toku obrade. Za početnu procjenu korisni su zahtjev, obuhvaćeni sistemi, primjeri rezultata, planirana priprema i dosadašnja komunikacija. Tako se pravo pristupa može obraditi potpuno, uz sljedivu zaštitu informacija drugih osoba.