Pojedynczy e-mail z pytaniem do firmy, jakie dane osobowe przechowuje na Twój temat, może wydawać się drobnym wnioskiem administracyjnym. Jednak według niedawnych decyzji egzekucyjnych w Europie ten jeden wniosek może być nicią, która rozwikła całą firmę i ujawni jej niepowodzenia w zakresie ochrony danych, a może kosztować tę firmę miliony euro. Prawa osób, których dane dotyczą, w RODO — narzędzia, które pozwalają zwykłym ludziom uzyskać dostęp do swoich danych osobowych, poprawić je, usunąć lub przenieść — coraz częściej stają się mechanizmem, którego regulatorzy używają do ujawniania znacznie większych problemów wewnątrz organizacji.

Czym są Twoje prawa osób, których dane dotyczą, w RODO i dlaczego mają znaczenie

Zgodnie z RODO każda osoba, której dane osobowe są przetwarzane przez firmę lub organizację działającą w UE, ma zestaw egzekwowalnych praw. Obejmują one prawo do wiedzy, jakie dane są zbierane, prawo dostępu do kopii tych danych, prawo do sprostowania nieprawidłowych informacji, prawo do żądania usunięcia (często nazywane „prawem do bycia zapomnianym”) oraz prawo do otrzymania swoich danych w formacie przenośnym, aby można je było przenieść do innej usługi.

Te prawa nie są nowe. Istnieją od czasu wejścia w życie RODO. Zmienia się sposób, w jaki są wykorzystywane. Regulatorzy i sądy coraz częściej traktują pojedynczy wniosek osoby, której dane dotyczą, oraz sposób, w jaki firma na niego odpowiada, jako okno na ogólne zarządzanie danymi w firmie. Jeśli przedsiębiorstwo nie potrafi odpowiedzieć na proste pytanie typu „co o mnie wiesz i gdzie to jest przechowywane” w sposób kompletny i terminowy, ta porażka często sygnalizuje głębsze problemy strukturalne: dane rozproszone w niepołączonych systemach, niejasną odpowiedzialność między zespołami lub procesy, które nigdy nie zostały zaprojektowane z myślą o prawach jednostki.

Jak jedna skarga zamieniła się w wielomilionową grzywnę

Niedawne decyzje europejskie dokładnie ilustrują, jak to wygląda w praktyce. Osoba korzysta z podstawowego prawa, często czegoś tak prostego jak prośba o dostęp do własnych danych lub żądanie usunięcia swoich danych. Firma odpowiada niekompletnie, z opóźnieniem lub wcale. To, co zaczyna się jako rutynowa skarga do organu ochrony danych, eskaluje następnie w pełne dochodzenie, a dochodzenie to często ujawnia problemy wykraczające daleko poza pierwotny wniosek: dane przechowywane bez uzasadnienia, niespójne postępowanie między działami lub systemy, które nigdy nie zostały należycie zbadane pod kątem zgodności.

Rezultat jest taki, że grzywny związane z tymi sprawami mogą sięgać milionów euro, mimo że wyzwalaczem była pojedyncza osoba dochodząca praw, które już istniały na papierze. Ten wzorzec pokazuje, że prawa osób, których dane dotyczą, to nie tylko obowiązek zgodności. To aktywna dźwignia egzekwowania, której regulatorzy są gotowi użyć, a jedna skarga często wystarczy, aby otworzyć drzwi.

Odzwierciedla to to, co stało się z grzywną GDPR dla Ubera w wysokości 825 mln euro, która koncentrowała się na zautomatyzowanych decyzjach, takich jak zawieszenia kont, podejmowanych bez odpowiedniej przejrzystości lub ludzkiego przeglądu. W obu sytuacjach podstawowy problem był ten sam: dane osobowe były przetwarzane na dużą skalę bez systemów pozwalających należycie je rozliczyć, gdy ktoś zadawał pytania lub kwestionował decyzję.

Co ujawnia o ekspozycji Twoich danych to, że firmy gorączkowo starają się spełnić wymogi

Dla konsumentów w tych historiach egzekwowania ukryta jest ważna lekcja. Jeśli regulatorzy odkrywają, że firmy mają trudności z przedstawieniem kompletnego, dokładnego obrazu danych jednostki na formalny wniosek, silnie sugeruje to, że wiele organizacji nie ma również jasnego obrazu wewnętrznego. Dane osobowe często znajdują się w większej liczbie miejsc, niż firmy sobie uświadamiają: bazy danych marketingowych, systemy zgłoszeń, platformy analityczne, zewnętrzni dostawcy i kopie zapasowe, które nigdy nie zostały w pełni zmapowane.

Ta fragmentacja jest dokładnie tym, dlaczego pojedynczy wniosek osoby, której dane dotyczą, może ujawnić tak wiele. Zmusza firmę do faktycznego prześledzenia, gdzie znajdują się Twoje informacje, a to ćwiczenie często ujawnia luki, o których organizacja nie wiedziała. Innymi słowy, ten sam wniosek, który chroni Twoje prawa, działa również jako praktyczny audyt tego, jak poważnie firma traktuje ochronę danych.

Jak korzystać ze swoich praw i audytować własny ślad danych

Nie musisz czekać, aż regulator podejmie działania w Twoim imieniu. Prawa osób, których dane dotyczą, w RODO są dostępne bezpośrednio dla Ciebie, a ich korzystanie jest często proste:

  • Wyślij wniosek o dostęp. Zapytaj firmę bezpośrednio, jakie dane osobowe przechowuje na Twój temat, skąd pochodzą i z kim zostały udostępnione.
  • Poproś o sprostowanie. Jeśli którekolwiek zwrócone dane są nieprawidłowe lub nieaktualne, masz prawo do ich poprawienia.
  • Poproś o usunięcie, gdy to właściwe. Jeśli nie korzystasz już z usługi lub firma nie ma uzasadnionego powodu, aby przechowywać Twoje dane, poproś o usunięcie.
  • Poproś o przenoszenie. Jeśli chcesz przenieść swoje informacje do innego dostawcy, poproś o nie w ustrukturyzowanym, powszechnie używanym formacie.
  • Śledź czasy odpowiedzi. Firmy zazwyczaj powinny odpowiedzieć w określonym terminie. Opóźnienia lub niekompletne odpowiedzi można zgłosić do krajowego organu ochrony danych.

Co to oznacza dla Ciebie

Rosnące ryzyko egzekwowania związane z prawami osób, których dane dotyczą, w RODO jest ostatecznie dobrą wiadomością dla jednostek. Oznacza to, że prawa na papierze mają realne konsekwencje, gdy są ignorowane. Jeśli kiedykolwiek zastanawiałeś się, ile Twoich danych osobowych krąży w systemach firmy, złożenie wniosku o dostęp do danych jest legalnym, niewymagającym dużego wysiłku sposobem, aby się dowiedzieć. Nie kosztuje Cię nic, a firmy są prawnie zobowiązane do odpowiedzi.

Jednocześnie te sprawy przypominają, że niepowodzenia w ochronie danych rzadko pozostają ograniczone. Firma, która źle obsługuje wniosek o dostęp jednej osoby, często źle zarządza danymi szerzej, co dotyczy wszystkich, których informacje przechodzą przez jej systemy.

Na początek rozważ wskazanie dwóch lub trzech usług, które przechowują istotne dane osobowe na Twój temat, takich jak były pracodawca, usługa subskrypcyjna, z której już nie korzystasz, lub platforma związana z wrażliwymi danymi, i złóż formalny wniosek o dostęp lub usunięcie. Zwróć uwagę, jak szybko i kompletnie odpowiadają. Ta odpowiedź wiele Ci powie o tym, jak poważnie ta organizacja traktuje prawa osób, których dane dotyczą, w RODO, i czy Twoje dane są naprawdę pod kontrolą.