Jeden e-mail, kterým se společnosti zeptáte, jaké osobní údaje o vás uchovává, se může zdát jako drobná administrativní záležitost. Podle nedávných rozhodnutí o vymáhání práva v Evropě však může tento jediný požadavek být nití, která rozmotala celé selhání ochrany údajů ve společnosti, a může tuto společnost stát miliony eur. Práva subjektů údajů podle GDPR, nástroje, které umožňují běžným lidem přistupovat ke svým osobním údajům, opravovat je, mazat nebo přenášet, se stále více stávají mechanismem, který regulátoři využívají k odhalování mnohem větších problémů uvnitř organizací.

Jaká jsou vaše práva subjektů údajů podle GDPR a proč jsou důležitá

Podle GDPR má každý, jehož osobní údaje zpracovává společnost nebo organizace působící v EU, soubor vymahatelných práv. Patří mezi ně právo vědět, jaké údaje se shromažďují, právo na přístup ke kopii těchto údajů, právo na opravu nepřesných informací, právo požadovat výmaz (často označované jako „právo být zapomenut") a právo obdržet své údaje v přenosném formátu, aby mohly být přesunuty k jiné službě.

Tato práva nejsou nová. Existují od okamžiku, kdy GDPR vstoupilo v platnost. Mění se však způsob, jakým se používají. Regulátoři a soudy stále častěji považují jedinou žádost subjektu údajů a způsob, jakým na ni společnost reaguje, za okno do celkového řízení dat ve společnosti. Pokud podnik nedokáže odpovědět na přímou otázku, jako je „co o mně víte a kde jsou tyto údaje uloženy", úplně a včas, toto selhání často signalizuje hlubší strukturální problémy: data rozptýlená mezi nespojenými systémy, nejasné vlastnictví mezi týmy nebo procesy, které nikdy nebyly navrženy s ohledem na práva jednotlivců.

Jak se jedna stížnost proměnila v pokutu ve výši několika milionů eur

Nedávná evropská rozhodnutí názorně ukazují, jak to v praxi funguje. Osoba uplatní základní právo, často něco tak jednoduchého, jako je žádost o přístup k vlastním záznamům nebo žádost o výmaz svých údajů. Společnost odpoví neúplně, pozdě, nebo vůbec. To, co začíná jako rutinní stížnost u úřadu pro ochranu osobních údajů, se pak eskaluje v plnohodnotné vyšetřování, a toto vyšetřování často odhalí problémy, které daleko přesahují původní žádost: údaje uchovávané bez odůvodnění, nekonzistentní zpracování napříč odděleními nebo systémy, které nikdy nebyly řádně auditovány z hlediska souladu s předpisy.

Výsledkem je, že pokuty spojené s těmito případy mohou dosáhnout milionů eur, i když spouštěčem byl jediný jednotlivec uplatňující práva, která již existovala na papíře. Tento vzorec ukazuje, že práva subjektů údajů nejsou jen zaškrtávací políčko pro dodržování předpisů. Jsou aktivní pákou pro vymáhání práva, kterou jsou regulátoři ochotni použít, a jedna stížnost často stačí k otevření dveří.

To odpovídá tomu, co se stalo v případě pokuty Uberu ve výši 825 milionů eur podle GDPR, která se soustředila na automatizovaná rozhodnutí, jako je pozastavení účtů, učiněná bez odpovídající transparentnosti nebo lidského přezkumu. V obou situacích byl základní problém stejný: osobní údaje byly zpracovávány ve velkém měřítku bez systémů, které by je řádně zohlednily, když se někdo zeptal nebo napadl rozhodnutí.

Co snaha společností o soulad prozrazuje o vystavení vašich dat

Pro spotřebitele se v těchto příbězích o vymáhání práva skrývá důležité poučení. Pokud regulátoři zjišťují, že společnosti mají potíže poskytnout úplný a přesný obraz o údajích jednotlivce při formální žádosti, silně to naznačuje, že mnoho organizací nemá jasný interní obraz ani pro sebe. Osobní údaje často žijí na více místech, než si společnosti uvědomují: marketingové databáze, systémy pro podporu, analytické platformy, třetí strany a zálohy, které nikdy nebyly plně zmapovány.

Právě tato roztříštěnost je důvodem, proč jediná žádost subjektu údajů může odhalit tolik. Nutí společnost skutečně vysledovat, kde se vaše informace nacházejí, a často toto cvičení odhalí mezery, o kterých organizace nevěděla. Jinými slovy, stejná žádost, která chrání vaše práva, funguje také jako praktický audit toho, jak vážně společnost přistupuje k ochraně údajů.

Jak uplatnit svá práva a prověřit vlastní stopu osobních údajů

Nemusíte čekat, až za vás bude jednat regulátor. Práva subjektů údajů podle GDPR máte k dispozici přímo a jejich využití je často jednoduché:

  • Pošlete žádost o přístup. Zeptejte se společnosti přímo, jaké osobní údaje o vás uchovává, odkud pocházejí a s kým byly sdíleny.
  • Požádejte o opravy. Pokud jsou některé vrácené údaje nepřesné nebo zastaralé, máte právo na jejich opravu.
  • Požádejte o výmaz, když je to vhodné. Pokud službu již nepoužíváte nebo společnost nemá legitimní důvod uchovávat vaše údaje, požádejte o výmaz.
  • Požádejte o přenositelnost. Pokud chcete své informace přesunout k jinému poskytovateli, požádejte o ně ve strukturovaném, běžně používaném formátu.
  • Sledujte doby odpovědi. Společnosti obecně musí odpovědět ve stanovené lhůtě. Zpoždění nebo neúplné odpovědi lze nahlásit vašemu národnímu úřadu pro ochranu osobních údajů.

Co to pro vás znamená

Rostoucí riziko vymáhání práva spojené s právy subjektů údajů podle GDPR je nakonec pro jednotlivce dobrou zprávou. Znamená to, že práva na papíře jsou podložena skutečnými důsledky, pokud jsou ignorována. Pokud jste někdy přemýšleli, kolik vašich osobních informací se pohybuje v systémech společnosti, podání žádosti o přístup k údajům je legitimní a nenáročný způsob, jak to zjistit. Nic vás to nestojí a společnosti mají zákonnou povinnost odpovědět.

Zároveň jsou tyto případy připomínkou, že selhání ochrany údajů zřídkakdy zůstávají izolovaná. Společnost, která špatně zpracovává žádost o přístup jedné osoby, často špatně spravuje data obecně, což ovlivňuje každého, jehož informace procházejí jejími systémy.

Jako výchozí bod zvažte identifikaci dvou nebo tří služeb, které o vás uchovávají významné osobní informace, jako je bývalý zaměstnavatel, předplatitelská služba, kterou již nepoužíváte, nebo platforma spojená s citlivými údaji, a poddejte formální žádost o přístup nebo výmaz. Věnujte pozornost tomu, jak rychle a úplně odpoví. Tato odpověď vám hodně napoví o tom, jak vážně tato organizace přistupuje k právům subjektů údajů podle GDPR a zda jsou vaše data skutečně pod kontrolou.