Подготвено с помощта на AI. Източниците са проверени към Материалът е обща информация; конкретният случай изисква отделна правна преценка.
Клиент пише: „Изпратете ми всички лични данни, които имате за мен.“ В магазина има поръчки, в пощата — рекламация, а в системата за обслужване — бележка на служител. Достатъчно ли е да изпратите името и адреса? А трябва ли да предадете цялата кореспонденция?
Правото на достъп обхваща действителните лични данни за човека и информация за обработването им. То не се изчерпва с клиентския профил, но и не означава автоматично предоставяне на всеки фирмен документ без преглед.
Какво включва отговорът по чл. 15 GDPR?
Чл. 12 и 15 от Общия регламент относно защитата на данните изискват разбираем отговор: дали обработвате лични данни, достъп до тях и съответната информация за обработването. Тя включва цели, категории данни, получатели, срок на съхранение или критериите за него, приложимите права и друга изискуема информация според случая.
Обща връзка към политиката за поверителност не замества копието на данните. Проверете какво действително обработвате за този човек. Ако не обработвате негови лични данни, отговорът следва да посочи това, след като е направена съответната проверка.
Имейлите и вътрешните бележки лични данни ли са?
Имена, адреси и история на покупки са очевидни примери. Оценки, мнения и бележки също могат да са лични данни, когато се отнасят до идентифицирано или идентифицируемо лице. Етикетът „вътрешно“ не ги изключва от обхвата. Същевременно не всяко изречение в документ, в който се споменава клиентът, непременно е негова лична информация.
Насоките 01/2022 на Европейския комитет по защита на данните разглеждат широкия обхват на достъпа. Практически търсенето може да включва системата за поръчки, служебната кореспонденция, клиентските досиета, записи на разговори и данни при обработващи от ваше име. Не ограничавайте проверката до един удобен екран.
Кога трябва да дадете самия документ?
По дело C-487/21 Съдът на ЕС пояснява, че копието трябва да възпроизвежда личните данни вярно и разбираемо. Извлечения от документи, а понякога и цели документи или части от бази данни, може да са необходими, когато без тях данните не могат да бъдат разбрани и правата — ефективно упражнени.
Следователно няма универсално правило „винаги целият имейл“ или „никога вътрешни документи“. Ако извадите само две думи от бележка и смисълът се изгуби, копието може да е недостатъчно. Ако структуриран извлек запазва всички относими данни и контекста, изпращането на цялата папка може да е излишно.
Как се защитават другите хора и поверителната информация?
Чл. 15, параграф 4 защитава правата и свободите на други лица. При смесени документи прегледайте чуждите лични данни, търговските тайни и другите защитени интереси. Възможните решения включват заличаване на отделни части, извлечение или подходящо представяне, което запазва смисъла на данните за заявителя.
Пример: в имейл за рекламация има оценка за поведението на клиента и телефон на друг купувач. Първата информация може да попада в искането, а вторият телефон да се заличи. Общо твърдение „всичко е търговска тайна“ не е достатъчно основание за отказ на целия достъп. Ограничението трябва да е конкретно обосновано.
Какъв е срокът и може ли да поискате лична карта?
Отговорът се дава без ненужно забавяне, най-късно до един месец от получаването. При необходимост срокът може да се удължи с още два месеца, като се отчетат сложността и броят на исканията; човекът трябва да бъде уведомен в първия месец и да получи причините за забавянето. „Един месец“ не бива механично да се заменя с „30 дни“.
При основателни съмнения за самоличността може да поискате необходимата допълнителна информация. Не изисквайте автоматично копие от лична карта за всяко искане. Преценете по-малко натрапчив начин за потвърждение и риска от изпращане на чужди данни. За заявлението няма задължителна специална форма или общо изискване човекът да обяснява защо иска достъп.
Практически ред за обработване на искането
- Регистрирайте датата, обхвата и отговорния служител. Искане до обичайния контакт с клиента трябва да достигне до правилния екип.
- Потвърдете самоличността пропорционално и установете в кои системи има относими данни.
- Съберете действителните данни и информацията за обработването; проверете пълнотата и разбираемостта.
- Прегледайте правата на трети лица и документирайте конкретните ограничения.
- Предайте копието сигурно на проверения получател и запазете отчет за отговора.
Първото копие по правило е безплатно. Допълнителни копия и явно неоснователни или прекомерни искания имат отделен режим; неудобството или обемът сами по себе си не оправдават автоматична такса или отказ. Искането за достъп е различно от искане за изтриване и не означава, че трябва да заличите данните.
Подгответе процедура преди първото искане
С GDPR съдействие от Advokatami можете да прегледате процеса за достъп и конкретен проект на отговор. Вижте и какво трябва да обяснява политиката за поверителност. Кратко официално въведение предлага и резюмето на ЕКЗД за правото на достъп.