Egyetlen e-mail, amelyben egy cégtől azt kérdezed, milyen személyes adatokat tárol rólad, jelentéktelen adminisztratív kérésnek tűnhet. De a közelmúltbeli európai végrehajtási döntések szerint ez az egyetlen kérés lehet az a szál, amely egy egész vállalat adatvédelmi hiányosságait feltárja, és több millió eurójába kerülhet a cégnek. A GDPR érintetti jogok – azok az eszközök, amelyek lehetővé teszik a hétköznapi emberek számára, hogy hozzáférjenek személyes adataikhoz, azokat helyesbítsék, töröljék vagy átvigyék – egyre inkább azzá a mechanizmussá válnak, amellyel a szabályozó hatóságok sokkal nagyobb problémákat tárnak fel a szervezeteken belül.

Mik a GDPR érintetti jogai, és miért fontosak

A GDPR értelmében mindenkinek, akinek a személyes adatait az EU-ban működő vállalat vagy szervezet kezeli, kikényszeríthető jogai vannak. Ezek közé tartozik a jog, hogy tudja, milyen adatokat gyűjtenek; a jog, hogy hozzáférjen ezen adatok másolatához; a jog, hogy a pontatlan információkat helyesbítsék; a jog, hogy kérje az adatok törlését (gyakran „elfeledtetéshez való jogként” emlegetik); valamint a jog, hogy az adatait hordozható formátumban kapja meg, hogy egy másik szolgáltatáshoz vihesse át.

Ezek a jogok nem újak. A GDPR hatálybalépése óta léteznek. Ami változik, az az, hogyan használják őket. A szabályozó hatóságok és a bíróságok egyre inkább úgy tekintenek egyetlen érintetti kérésre – és arra, hogyan válaszol rá egy vállalat –, mint a vállalat általános adatgazdálkodásába nyújtott ablakra. Ha egy vállalkozás nem tud teljes és időszerű választ adni egy olyan egyszerű kérdésre, mint hogy „mit tud rólam, és hol tárolja azt”, ez a mulasztás gyakran mélyebb strukturális problémákra utal: szétszórt adatok egymással nem összekapcsolt rendszerekben, tisztázatlan felelősségi körök a csapatok között, vagy olyan folyamatok, amelyeket soha nem az egyéni jogok figyelembevételével terveztek.

Hogyan vált egyetlen panasz több millió eurós bírsággá

A közelmúltbeli európai döntések pontosan megmutatják, hogyan zajlik ez a gyakorlatban. Egy személy gyakorol egy alapvető jogot, gyakran valami olyan egyszerűt, mint hogy hozzáférést kér a saját nyilvántartásaihoz, vagy azt kéri, hogy töröljék az adatait. A cég hiányosan, késve vagy egyáltalán nem válaszol. Ami rutinpanaszként indul egy adatvédelmi hatóságnál, az teljes vizsgálattá eszkalálódik, és ez a vizsgálat gyakran az eredeti kérésen messze túlmutató problémákat tár fel: indokolatlanul megőrzött adatokat, osztályok közötti következetlen adatkezelést vagy olyan rendszereket, amelyeket soha nem auditáltak megfelelően a megfelelés szempontjából.

Az eredmény az, hogy az ilyen ügyekhez kapcsolódó bírságok elérhetik a több millió eurót is, annak ellenére, hogy a kiváltó ok egyetlen egyén volt, aki papíron már létező jogait érvényesítette. Ez a minta azt mutatja, hogy az érintetti jogok nem csupán egy megfelelési pipa. Aktív végrehajtási eszközt jelentenek, amelyet a szabályozó hatóságok hajlandóak használni, és egyetlen panasz gyakran elég ahhoz, hogy kinyissa az ajtót.

Ez tükrözi azt, ami az Uber 825 millió eurós GDPR-bírságával történt, amely olyan automatizált döntésekre összpontosított, mint a fiókfelfüggesztések, amelyeket megfelelő átláthatóság vagy emberi felülvizsgálat nélkül hoztak. Mindkét esetben ugyanaz volt a mögöttes probléma: a személyes adatokat nagy léptékben kezelték anélkül, hogy lettek volna olyan rendszerek, amelyek megfelelően elszámolhatók lettek volna, amikor valaki kérdéseket tett fel vagy megkérdőjelezett egy döntést.

Mit árul el az adataid kitettségéről, hogy a cégek a megfelelésért küzdenek

A fogyasztók számára fontos tanulság rejlik ezekben a végrehajtási történetekben. Ha a szabályozó hatóságok azt tapasztalják, hogy a cégek nehezen tudnak teljes, pontos képet adni egy egyén adatairól, amikor hivatalosan kérik ezt, az erősen arra utal, hogy sok szervezetnek belül sem világos ez a kép. A személyes adatok gyakran több helyen élnek, mint ahogy a cégek gondolják: marketingadatbázisokban, ügyfélszolgálati jegyrendszerekben, elemzési platformokon, harmadik féltől származó szállítóknál és olyan biztonsági mentésekben, amelyeket soha nem térképeztek fel teljesen.

Ez a széttagoltság pontosan az oka annak, hogy egyetlen érintetti kérés ilyen sokat tárhat fel. Arra kényszeríti a céget, hogy ténylegesen nyomon kövesse, hol élnek az információid, és ez a gyakorlat gyakran olyan hiányosságokat tár fel, amelyekről a szervezet nem is tudott. Más szóval, ugyanaz a kérés, amely védi a jogaidat, egyben gyakorlati auditként is működik arra nézve, mennyire veszi komolyan egy cég az adatvédelmet.

Hogyan gyakorolhatod a jogaidat, és auditálhatod a saját adatlábnyomodat

Nem kell megvárnod, hogy egy szabályozó hatóság cselekedjen a nevedben. A GDPR érintetti jogok közvetlenül rendelkezésedre állnak, és használatuk gyakran egyszerű:

  • Küldj hozzáférési kérelmet. Kérdezd meg közvetlenül a céget, milyen személyes adatokat tárol rólad, honnan származnak, és kivel osztották meg azokat.
  • Kérj helyesbítést. Ha a visszakapott adatok bármelyike pontatlan vagy elavult, jogod van ahhoz, hogy kijavítsák.
  • Kérj törlést, amikor indokolt. Ha már nem használsz egy szolgáltatást, vagy a cégnek nincs jogos indoka az adataid megtartására, kérj törlést.
  • Kérj hordozhatóságot. Ha az információidat egy másik szolgáltatóhoz szeretnéd átvinni, kérjed azokat strukturált, széles körben használt formátumban.
  • Kövesd nyomon a válaszidőket. A cégeknek általában meghatározott időn belül kell válaszolniuk. A késedelmeket vagy hiányos válaszokat bejelentheted a nemzeti adatvédelmi hatóságodnál.

Mit jelent ez a számodra

A GDPR érintetti jogokhoz kapcsolódó növekvő végrehajtási kockázat végső soron jó hír az egyének számára. Azt jelenti, hogy a papíron létező jogokat valódi következmények támasztják alá, ha figyelmen kívül hagyják őket. Ha valaha is azon tűnődtél, mennyi személyes információd kering egy cég rendszereiben, az adathozzáférési kérelem benyújtása legitim, kis erőfeszítést igénylő módja annak, hogy megtudd. Nem kerül semmibe, és a cégek jogilag kötelesek válaszolni.

Ugyanakkor ezek az ügyek emlékeztetnek arra, hogy az adatvédelmi hiányosságok ritkán maradnak elszigeteltek. Egy cég, amely rosszul kezeli egy személy hozzáférési kérelmét, gyakran szélesebb körben is rosszul kezeli az adatgazdálkodást, ami mindenkire hatással van, akinek az információi átmennek a rendszerein.

Kiindulópontként érdemes lehet kiválasztani két-három olyan szolgáltatást, amelyek jelentős személyes információkat tárolnak rólad – például egy korábbi munkáltatót, egy már nem használt előfizetéses szolgáltatást vagy egy érzékeny adatokhoz kapcsolódó platformot –, és benyújtani egy formális hozzáférési vagy törlési kérelmet. Figyeld meg, milyen gyorsan és teljesen válaszolnak. Ez a válasz sokat elárul arról, mennyire veszi komolyan az adott szervezet a GDPR érintetti jogokat, és hogy az adataid valóban ellenőrzés alatt vannak-e.