Един-единствен имейл, с който питате дадена компания какви лични данни съхранява за вас, може да изглежда като дребна административна молба. Но според скорошни решения за прилагане на закона в Европа тази една молба може да бъде нишката, която разплита целия провал на една компания в защитата на данните, и може да струва на тази компания милиони евро. Правата на субектите на данни по GDPR – инструментите, които позволяват на обикновените хора да получат достъп, да коригират, изтрият или прехвърлят личните си данни – все по-често се превръщат в механизма, който регулаторите използват, за да разкрият много по-големи проблеми вътре в организациите.

Какви са вашите права на субект на данни по GDPR и защо са важни

Съгласно GDPR всеки, чиито лични данни се обработват от компания или организация, извършваща дейност в ЕС, има набор от права, които могат да бъдат упражнявани принудително. Те включват правото да знаете какви данни се събират, правото на достъп до копие от тези данни, правото неточната информация да бъде коригирана, правото да поискате изтриване (често наричано „правото да бъдеш забравен“) и правото да получите данните си в преносим формат, така че да могат да бъдат прехвърлени към друга услуга.

Тези права не са нови. Те съществуват, откакто GDPR влезе в сила. Това, което се променя, е как се използват. Регулаторите и съдилищата все по-често третират една-единствена молба от субект на данни и начина, по който компанията отговаря на нея, като прозорец към цялостното управление на данните в компанията. Ако един бизнес не може да отговори на прям въпрос като „какво знаете за мен и къде се съхранява това“ по пълен и навременен начин, този провал често сигнализира за по-дълбоки структурни проблеми: данни, разпръснати из несвързани системи, неясна отговорност между екипите или процеси, които никога не са били проектирани с мисъл за правата на отделния човек.

Как една жалба се превърна в глоба от няколко милиона евро

Скорошни европейски решения илюстрират точно как това се случва на практика. Човек упражнява основно право, често нещо толкова просто като искане за достъп до собствените си записи или искане данните му да бъдат изтрити. Компанията отговаря непълно, със закъснение или изобщо не отговаря. Това, което започва като рутинна жалба до орган за защита на данните, след това се разраства в пълно разследване, а това разследване често разкрива проблеми, които отиват далеч отвъд първоначалната молба: данни, съхранявани без основание, непоследователно обработване между отделите или системи, които никога не са били подлагани на подходящ одит за съответствие.

Резултатът е, че глобите, свързани с тези случаи, могат да достигнат милиони евро, въпреки че задействащият фактор е бил един-единствен човек, упражняващ права, които вече са съществували на хартия. Този модел показва, че правата на субектите на данни не са просто отметка за съответствие. Те са активен лост за прилагане на закона, който регулаторите са готови да използват, и една жалба често е достатъчна, за да отвори вратата.

Това отразява случилото се с глобата от 825 милиона евро на Uber по GDPR, която беше съсредоточена върху автоматизирани решения, като спиране на акаунти, взети без адекватна прозрачност или човешки преглед. И в двата случая основният проблем беше един и същ: личните данни се обработваха в голям мащаб без налични системи, които да отчитат правилно положението, когато някой зададе въпроси или оспори решение.

Какво разкрива за излагането на вашите данни това, че компаниите се мъчат да постигнат съответствие

За потребителите в тези истории за прилагане на закона е скрит важен урок. Ако регулаторите установяват, че компаниите се затрудняват да предоставят пълна и точна картина на данните на даден човек, когато това бъде поискано официално, това силно подсказва, че много организации нямат ясна вътрешна картина също. Личните данни често се намират на повече места, отколкото компаниите осъзнават: маркетингови бази данни, системи за поддръжка, аналитични платформи, трети страни доставчици и резервни копия, които никога не са били напълно картографирани.

Именно тази разпокъсаност е причината една-единствена молба от субект на данни да може да разкрие толкова много. Тя принуждава компанията действително да проследи къде живее вашата информация и често това упражнение разкрива пропуски, за които организацията не е знаела, че съществуват. С други думи, същата молба, която защитава правата ви, функционира и като практичен одит на това колко сериозно една компания се отнася към защитата на данните.

Как да упражните правата си и да одите собствения си отпечатък от данни

Не е нужно да чакате регулатор да действа от ваше име. Правата на субектите на данни по GDPR са достъпни за вас директно и използването им често е лесно:

  • Изпратете искане за достъп. Попитайте компанията директно какви лични данни съхранява за вас, откъде идват и с кого са били споделени.
  • Поискайте корекции. Ако някои от върнатите данни са неточни или остарели, имате право те да бъдат поправени.
  • Поискайте изтриване, когато е уместно. Ако вече не използвате дадена услуга или компанията няма законна причина да пази данните ви, поискайте заличаване.
  • Поискайте преносимост. Ако искате да преместите информацията си към друг доставчик, поискайте я в структуриран, често използван формат.
  • Следете времената за отговор. Обикновено се очаква компаниите да отговарят в определен срок. Забавянията или непълните отговори могат да бъдат докладвани на националния ви орган за защита на данните.

Какво означава това за вас

Нарастващият риск от прилагане на закона, свързан с правата на субектите на данни по GDPR, в крайна сметка е добра новина за хората. Това означава, че правата на хартия са подкрепени от реални последици, когато бъдат пренебрегнати. Ако някога сте се чудили колко от личната ви информация се носи из системите на дадена компания, подаването на искане за достъп до данни е законен начин да разберете това с малко усилия. Не ви струва нищо, а компаниите са законово задължени да отговорят.

В същото време тези случаи са напомняне, че провалите в защитата на данните рядко остават ограничени. Компания, която се справя лошо с искането за достъп на един човек, често се справя лошо с управлението на данните в по-широк план, което засяга всеки, чиято информация преминава през системите ѝ.

Като отправна точка помислете да идентифицирате две или три услуги, които съхраняват значителна лична информация за вас, като бивш работодател, абонаментна услуга, която вече не използвате, или платформа, свързана с чувствителни данни, и подайте официално искане за достъп или изтриване. Обърнете внимание колко бързо и колко пълно отговарят. Този отговор ще ви каже много за това колко сериозно тази организация се отнася към правата на субектите на данни по GDPR и дали данните ви наистина са под контрол.