Jedan e-mail kojim se od tvrtke traži da otkrije koje osobne podatke o vama posjeduje može se činiti kao manji administrativni zahtjev. No prema nedavnim provedbenim odlukama u Europi, taj jedan zahtjev može biti nit koja razotkriva cjelokupne propuste u zaštiti podataka neke tvrtke i može tu tvrtku stajati milijune eura. GDPR prava ispitanika, alati koji običnim ljudima omogućuju pristup, ispravak, brisanje ili prijenos njihovih osobnih podataka, sve češće postaju mehanizam kojim se regulatori koriste kako bi razotkrili mnogo veće probleme unutar organizacija.

Koja su vaša GDPR prava ispitanika i zašto su važna

Prema GDPR-u, svatko čije osobne podatke obrađuje tvrtka ili organizacija koja posluje u EU-u ima niz provedivih prava. To uključuje pravo znati koji se podaci prikupljaju, pravo na pristup kopiji tih podataka, pravo na ispravak netočnih informacija, pravo na zahtjev za brisanje (često nazvano „pravo na zaborav”) i pravo na primanje svojih podataka u prenosivom formatu kako bi se mogli prenijeti drugoj usluzi.

Ta prava nisu nova. Postoje otkako je GDPR stupio na snagu. Ono što se mijenja jest način na koji se koriste. Regulatori i sudovi sve češće tretiraju jedan zahtjev ispitanika, i način na koji tvrtka na njega odgovori, kao uvid u cjelokupno upravljanje podacima te tvrtke. Ako poslovanje ne može odgovoriti na jednostavno pitanje poput „što znate o meni i gdje je to pohranjeno” na potpun i pravovremen način, taj propust često signalizira dublje strukturalne probleme: podatke razbacane po nepovezanim sustavima, nejasno vlasništvo među timovima ili procese koji nikada nisu bili osmišljeni s pravima pojedinaca na umu.

Kako se jedna pritužba pretvorila u novčanu kaznu od više milijuna eura

Nedavne europske odluke upravo pokazuju kako se to odvija u praksi. Osoba ostvaruje osnovno pravo, često nešto jednostavno poput zahtjeva za pristup vlastitim podacima ili zahtjeva da se njezini podaci izbrišu. Tvrtka odgovara nepotpuno, sa zakašnjenjem ili uopće ne odgovara. Ono što počinje kao rutinska pritužba nadzornom tijelu za zaštitu podataka zatim eskalira u punu istragu, a ta istraga često otkriva probleme koji daleko nadilaze izvorni zahtjev: podatke koji se čuvaju bez opravdanja, nedosljedno postupanje među odjelima ili sustave koji nikada nisu bili propisno revidirani radi usklađenosti.

Rezultat je da novčane kazne povezane s takvim slučajevima mogu dosegnuti milijune eura, iako je pokretač bio pojedinac koji je ostvario prava koja su već postojala na papiru. Taj obrazac pokazuje da prava ispitanika nisu samo kućica za označavanje radi usklađenosti. Ona su aktivna poluga provedbe koju su regulatori spremni koristiti, a jedna pritužba često je dovoljna da se otvore vrata.

To odražava ono što se dogodilo s Uberovom GDPR kaznom od 825 milijuna eura, koja se usredotočila na automatizirane odluke, poput suspenzija računa, donesene bez odgovarajuće transparentnosti ili ljudskog pregleda. U objema situacijama temeljni je problem bio isti: osobni podaci obrađivali su se u velikom opsegu bez sustava koji bi o njima propisno vodili računa kada bi netko postavio pitanja ili osporio odluku.

Što otkriva to što se tvrtke žurno trude uskladiti o vašoj izloženosti podacima

Za potrošače je u tim pričama o provedbi skrivena važna lekcija. Ako regulatori otkrivaju da tvrtke teško daju potpunu i točnu sliku nečijih podataka kada se to formalno zatraži, to snažno upućuje na to da mnoge organizacije ni interno nemaju jasnu sliku. Osobni podaci često žive na više mjesta nego što tvrtke shvaćaju: marketinške baze podataka, sustavi za korisničke zahtjeve, analitičke platforme, vanjski dobavljači i sigurnosne kopije koje nikada nisu bile u potpunosti mapirane.

Upravo ta fragmentacija razlog je zašto jedan zahtjev ispitanika može razotkriti toliko toga. On prisiljava tvrtku da stvarno uđe u trag tome gdje se vaše informacije nalaze, a to često otkriva praznine za koje organizacija nije znala da postoje. Drugim riječima, isti zahtjev koji štiti vaša prava ujedno funkcionira i kao praktična revizija toga koliko ozbiljno tvrtka shvaća zaštitu podataka.

Kako ostvariti svoja prava i revidirati vlastiti trag podataka

Ne morate čekati da regulator djeluje u vaše ime. GDPR prava ispitanika dostupna su vam izravno, a njihovo je korištenje često jednostavno:

  • Pošaljite zahtjev za pristup. Pitajte tvrtku izravno koje osobne podatke posjeduje o vama, odakle potječu i s kim su podijeljeni.
  • Zatražite ispravke. Ako su neki od vraćenih podataka netočni ili zastarjeli, imate pravo da se isprave.
  • Zatražite brisanje kada je to primjereno. Ako više ne koristite uslugu ili tvrtka nema legitiman razlog za čuvanje vaših podataka, zatražite brisanje.
  • Zatražite prenosivost. Ako želite premjestiti svoje informacije drugom pružatelju usluga, zatražite ih u strukturiranom, uobičajeno korištenom formatu.
  • Pratite rokove odgovora. Od tvrtki se općenito očekuje da odgovore u definiranom roku. Kašnjenja ili nepotpuni odgovori mogu se prijaviti vašem nacionalnom nadzornom tijelu za zaštitu podataka.

Što to znači za vas

Rastući rizik proveďbe povezan s GDPR pravima ispitanika u konačnici je dobra vijest za pojedince. To znači da prava na papiru imaju stvarne posljedice kada se ignoriraju. Ako ste se ikada pitali koliko vaših osobnih informacija kruži sustavima neke tvrtke, podnošenje zahtjeva za pristup podacima legitiman je način da to saznate uz malo truda. Ne košta vas ništa, a tvrtke su zakonski obvezne odgovoriti.

Istodobno, ti su slučajevi podsjetnik da propusti u zaštiti podataka rijetko ostaju ograničeni. Tvrtka koja pogrešno postupa s jednim zahtjevom za pristup često pogrešno postupa i s upravljanjem podacima općenito, što utječe na sve čije informacije prolaze kroz njezine sustave.

Kao početnu točku, razmislite o tome da identificirate dvije ili tri usluge koje o vama drže značajne osobne informacije, poput bivšeg poslodavca, pretplatničke usluge koju više ne koristite ili platforme povezane s osjetljivim podacima, i podnesite formalni zahtjev za pristup ili brisanje. Obratite pozornost na to koliko brzo i potpuno odgovore. Taj će vam odgovor mnogo reći o tome koliko ta organizacija ozbiljno shvaća GDPR prava ispitanika i jesu li vaši podaci doista pod kontrolom.