GDPR v praxi: právo na prístup k údajom a ich vymazanie

Nariadenie (EÚ) 2016/679, známe ako GDPR, upravuje spracúvanie osobných údajov v Európskej únii. Okrem povinností pre firmy dáva aj práva jednotlivcom, napríklad právo na prístup k údajom. Mnohí ich nepoznajú alebo nevedia, ako ich uplatniť. Tento text popisuje základné práva a všeobecný postup. Nejde o právne poradenstvo a pri zložitejších situáciách sa obráťte na odborníka.

Základné práva

Právo na prístup umožňuje získať potvrdenie, či prevádzkovateľ spracúva vaše údaje, a kópiu týchto údajov spolu s informáciami o účele, príjemcoch a dobe uchovávania. Právo na opravu umožňuje dať si opraviť nepresné údaje. Právo na vymazanie, často nazývané právo byť zabudnutý, môžete uplatniť za určitých podmienok, napríklad ak údaje už nie sú potrebné na pôvodný účel alebo ak ste odvolali súhlas.

Existujú aj práva na obmedzenie spracúvania, na prenosnosť údajov a na námietku proti spracúvaniu, napríklad na účely priameho marketingu. Rozsah každého práva a výnimky určuje nariadenie, preto nie všetky žiadosti musia byť vyhovené v plnom rozsahu.

Ako postupovať pri žiadosti

Najprv zistite, kto je prevádzkovateľ. Kontakt na neho, prípadne na zodpovednú osobu, nájdete v zásadách ochrany osobných údajov na webe služby. Žiadosť napíšte jasne: uveďte, ktoré právo uplatňujete, a poskytnite informácie potrebné na vašu identifikáciu, pričom nezdieľajte viac údajov, než je nutné. Zachovajte kópiu žiadosti a dátum odoslania.

Prevádzkovateľ má povinnosť odpovedať v lehote stanovenej nariadením, ktorú môže za určitých okolností predĺžiť. Presné lehoty si overte priamo v texte nariadenia. Ak prevádzkovateľ nereaguje, upozornite ho na jeho povinnosť a zvážte ďalší postup.

Pri písaní žiadosti pomáha vecný tón a presnosť. Uveďte, o aké údaje ide, za aké obdobie a prípadne aký účet alebo e-mailovú adresu používate. Ak od prevádzkovateľa požadujete elektronickú kópiu údajov, spomeňte to. Ak prevádzkovateľ žiada overenie totožnosti, môže to byť oprávnené, no nemal by vyžadovať viac údajov, než je nevyhnutné.

Čo čakať a kde sú obmedzenia

Prevádzkovateľ môže žiadosť odmietnuť, ak má na spracúvanie iný zákonný dôvod, napríklad zákonnú povinnosť uchovávať údaje. Tak je to napríklad pri účtovných dokladoch alebo pri údajoch, ktoré treba uchovať kvôli právnym nárokom. V takom prípade by mal odmietnutie odôvodniť. Pri finančných službách, napríklad pri kryptoburzách, sa uplatňujú aj pravidlá o overovaní zákazníkov, preto niektoré údaje zostanú uložené aj po zrušení účtu. Viac o tom sa dozviete v sekcii o burzách a v prehľade dane a regulácia.

Žiadosť sa týka údajov uchovávaných prevádzkovateľom. Údaje, ktoré už boli odovzdané ďalším príjemcom, môžete sledovať cez informácie o príjemcoch a požiadať aj ich.

Pri odpovedi si všímajte, či obsahuje všetko, čo nariadenie vyžaduje: účely spracúvania, kategórie údajov, príjemcov a dobu uchovávania. Neúplná odpoveď je dôvodom na doplňujúcu otázku. Pri komplikovanej situácii, napríklad pri sporoch, môže byť vhodné poradiť sa s právnikom, ktorý sa zameriava na ochranu osobných údajov.

Ak sa nedarí

Ak odpoveď nedostanete alebo nie ste spokojní, môžete podať sťažnosť dozornému orgánu. Na Slovensku je to Úrad na ochranu osobných údajov SR, ktorého stránka obsahuje informácie o postupe. Na európskej úrovni tému koordinuje Európsky zbor pre ochranu údajov. Okrem toho existujú aj súdne cesty, pri ktorých odporúčame poradiť sa s právnikom.

Pre prevenciu zvážte, ktorým službám skutočne dávate údaje. Čím menej ich zverejníte, tým menej treba vymazávať. Súvisí s tým aj digitálna stopa a pojmy v slovníku.