Prava ispitanika i pristup podacima

Zahtjev u pravilu ne mora sadržavati obrazloženje. I kratka poruka može biti dovoljna ako pokazuje da osoba želi znati da li se obrađuju njeni lični podaci i koji su to podaci. Preduzeće zato treba zabilježiti sadržaj poruke i datum prijema, a ne oslanjati se samo na naslov elektronske poruke.

Za početno razvrstavanje pomažu četiri pitanja: Ko je podnio zahtjev? Koju ulogu ta osoba ima u odnosu s preduzećem ili klijentom? Koje obrade mogu biti obuhvaćene? I koje tijelo odlučuje o svrhama i sredstvima obrade? Voditelj obrade organizuje odgovor. Izvršitelj obrade može pomoći u pretrazi, ali ne preuzima odgovornost voditelja obrade.

Voditelj obrade mora olakšati ostvarivanje prava ispitanika. Dodatne dokaze zato ne treba tražiti kao rutinsku formalnost. Ako postoje opravdane sumnje u identitet, mogu se zatražiti dodatne informacije koje su potrebne za potvrdu identiteta. Vrsta i obim provjere moraju odgovarati riziku obrade.

Kod postojećeg korisničkog računa mogu biti dovoljni već potvrđeni kontaktni podaci ili sigurna prijava. Kod naročito osjetljivih podataka ili zahtjeva s nepoznate adrese može biti potrebna dodatna i srazmjerna potvrda. Opšti zahtjev za kopijom ličnog dokumenta u svakom slučaju nije zamjena za odluku zasnovanu na riziku. Provjeru i njene razloge treba zabilježiti.

Odgovor mora sadržavati više od izjave da su podaci sačuvani. Član 15 GDPR-a, pored ličnih podataka, traži informacije o svrhama obrade, kategorijama ličnih podataka, primaocima ili kategorijama primalaca, roku čuvanja ili kriterijima za njegovo određivanje, drugim pravima ispitanika i pravu na pritužbu nadzornom organu.

Ako podaci nisu prikupljeni neposredno od ispitanika, treba navesti dostupne informacije o njihovom izvoru. Kod automatizovanog donošenja odluka, uključujući profilisanje, treba uzeti u obzir zakonom propisane informacije o uključenoj logici, obimu i predviđenim posljedicama. Kod prenosa u treće zemlje treba navesti odgovarajuće zaštitne mjere.

Informacije moraju biti dostavljene razumljivo. Neobjašnjen izvod iz sistema može zato biti nedovoljan ako osoba ne može razumjeti obradu ili pripadnost podataka. Istovremeno, pravo pristupa nije neograničeno pravo na svaki interni poslovni dokument. Potrebno je potpuno i razumljivo dostaviti relevantne lične podatke i informacije koje zakon traži.

Voditelj obrade mora bez odlaganja, a najkasnije u roku od jednog mjeseca od prijema zahtjeva, obavijestiti ispitanika o preduzetim mjerama. Rok se može produžiti za najviše dva dodatna mjeseca ako je to potrebno zbog složenosti ili broja zahtjeva. Ispitanik mora u prvom mjesecu biti obaviješten o produženju i njegovim razlozima.

Ako preduzeće ne preduzme mjere, mora najkasnije u roku od jednog mjeseca navesti razloge i obavijestiti ispitanika o mogućnosti pritužbe nadzornom organu ili sudskog pravnog lijeka. Kalendar rokova s odgovornom osobom, međuprovjerama i dokazom slanja sprečava da se odgovor sastavlja tek pred istek roka.

Prva kopija ličnih podataka u pravilu je besplatna. Za dodatne kopije može se pod zakonskim uslovima naplatiti razumna naknada zasnovana na administrativnim troškovima. Kod očigledno neosnovanih ili, naročito zbog ponavljanja, pretjeranih zahtjeva voditelj obrade može naplatiti razumnu naknadu ili odbiti postupanje. Preduzeće mora moći obrazložiti i dokazati uslove za takvu odluku.

Ako je zahtjev podnesen elektronski, informacije se prema mogućnosti dostavljaju u uobičajenom elektronskom formatu, osim ako ispitanik zatraži drugačije. Pristup može biti ograničen kada su ugrožena prava i slobode drugih osoba, poslovne tajne ili posebna zakonska zaštita. Ograničenje zahtijeva konkretnu procjenu. Opšte odbijanje cijelog zahtjeva nije zamjena za tu procjenu, a preostale informacije i dalje treba dostaviti.

Dobar odgovor se najčešće priprema prije pisanja završnog dopisa. Preduzeće treba odrediti ko prima zahtjeve, koji se sistemi i izvršitelji obrade provjeravaju, ko procjenjuje rezultate i ko odobrava konačan odgovor. Interna pretraga treba ostati provjerljiva, bez prikupljanja više ličnih podataka nego što je potrebno za obradu zahtjeva.

U spis treba unijeti najmanje prijem i obračun roka, provjeru identiteta, provjerene sisteme i službe, pronađene kategorije podataka, provjeru primalaca i rokova čuvanja, eventualne redakcije ili ograničenja, produženje s razlozima i slanje odgovora. Za pojedinačne korake možete koristiti kontrolnu listu za zahtjev za pristup. Kod nejasnih uloga pomaže provjera uloga. Organizacijski okvir objašnjava tema usklađenost i upravljanje privatnošću.