Un singur e-mail prin care ceri unei companii să îți spună ce date personale deține despre tine poate părea o cerere administrativă minoră. Dar, potrivit deciziilor recente de aplicare a legii din Europa, acea singură cerere poate fi firul care dezvăluie întregul eșec al unei companii în materie de protecție a datelor și o poate costa pe aceasta milioane de euro. Drepturile persoanei vizate conform GDPR, instrumentele care le permit oamenilor obișnuiți să își acceseze, corecteze, ștergă sau transfere datele personale, devin tot mai mult mecanismul pe care autoritățile de reglementare îl folosesc pentru a expune probleme mult mai mari în interiorul organizațiilor.

Care sunt drepturile tale ale persoanei vizate conform GDPR și de ce contează

Conform GDPR, oricine ale cărui date personale sunt prelucrate de o companie sau organizație care își desfășoară activitatea în UE are un set de drepturi executorii. Acestea includ dreptul de a ști ce date sunt colectate, dreptul de a accesa o copie a acestor date, dreptul de a corecta informațiile inexacte, dreptul de a solicita ștergerea (deseori numit „dreptul de a fi uitat”) și dreptul de a primi datele tale într-un format portabil, astfel încât să poată fi transferate către un alt serviciu.

Aceste drepturi nu sunt noi. Ele există de la intrarea în vigoare a GDPR. Ceea ce se schimbă este modul în care sunt utilizate. Autoritățile de reglementare și instanțele tratează tot mai mult o singură cerere a persoanei vizate, și modul în care o companie răspunde la aceasta, ca pe o fereastră către guvernanța generală a datelor din companie. Dacă o afacere nu poate răspunde într-un mod complet și prompt la o întrebare simplă precum „ce știi despre mine și unde este stocat”, acel eșec semnalează adesea probleme structurale mai profunde: date împrăștiate în sisteme neconectate, responsabilități neclare între echipe sau procese care nu au fost niciodată concepute ținând cont de drepturile individuale.

Cum s-a transformat o singură plângere într-o amendă de milioane de euro

Deciziile europene recente ilustrează exact modul în care acest lucru se manifestă în practică. O persoană își exercită un drept de bază, adesea ceva la fel de simplu precum solicitarea accesului la propriile înregistrări sau cererea de ștergere a datelor sale. Compania răspunde incomplet, cu întârziere sau deloc. Ceea ce începe ca o plângere de rutină către o autoritate de protecție a datelor se transformă apoi într-o investigație completă, iar acea investigație descoperă frecvent probleme care depășesc cu mult cererea inițială: date păstrate fără justificare, gestionare inconsistentă între departamente sau sisteme care nu au fost niciodată auditate corespunzător pentru conformitate.

Rezultatul este că amenzile legate de aceste cazuri pot ajunge la milioane de euro, chiar dacă declanșatorul a fost un singur individ care și-a afirmat drepturi ce existau deja pe hârtie. Acest tipar arată că drepturile persoanei vizate nu sunt doar o bifă de conformitate. Ele sunt o pârghie activă de aplicare a legii pe care autoritățile de reglementare sunt dispuse să o folosească, iar o singură plângere este adesea suficientă pentru a deschide ușa.

Acest lucru oglindește ceea ce s-a întâmplat cu amenda GDPR de 825 de milioane de euro aplicată Uber, care s-a concentrat pe decizii automatizate, precum suspendarea conturilor, luate fără transparență adecvată sau revizuire umană. În ambele situații, problema de fond a fost aceeași: datele personale erau prelucrate la scară largă fără ca sistemele să fie pregătite să răspundă corespunzător atunci când cineva punea întrebări sau contesta o decizie.

Ce dezvăluie eforturile companiilor de a se conforma despre expunerea datelor tale

Pentru consumatori, există o lecție importantă ascunsă în aceste povești de aplicare a legii. Dacă autoritățile de reglementare descoperă că firmele se străduiesc să producă o imagine completă și exactă a datelor unei persoane atunci când li se solicită în mod formal, acest lucru sugerează puternic că multe organizații nu au nici ele o imagine internă clară. Datele personale se află adesea în mai multe locuri decât realizează companiile: baze de date de marketing, sisteme de ticketing pentru asistență, platforme de analiză, furnizori terți și copii de rezervă care nu au fost niciodată cartografiate complet.

Această fragmentare este exact motivul pentru care o singură cerere a persoanei vizate poate dezvălui atât de multe. Ea obligă o companie să urmărească efectiv unde se află informațiile tale, iar acest exercițiu relevă adesea lacune pe care organizația nu știa că există. Cu alte cuvinte, aceeași cerere care îți protejează drepturile funcționează și ca un audit practic al modului în care o companie tratează în mod serios protecția datelor.

Cum să îți exerciți drepturile și să îți auditezi propria amprentă de date

Nu trebuie să aștepți ca o autoritate de reglementare să acționeze în numele tău. Drepturile persoanei vizate conform GDPR îți sunt disponibile direct, iar utilizarea lor este adesea simplă:

  • Trimite o cerere de acces. Întreabă direct o companie ce date personale deține despre tine, de unde provin și cu cine au fost partajate.
  • Solicită corectări. Dacă oricare dintre datele returnate este inexactă sau depășită, ai dreptul de a o corecta.
  • Solicită ștergerea atunci când este cazul. Dacă nu mai folosești un serviciu sau compania nu are un motiv legitim să îți păstreze datele, solicită ștergerea.
  • Solicită portabilitatea. Dacă vrei să îți muți informațiile la un alt furnizor, cere-le într-un format structurat, utilizat în mod obișnuit.
  • Urmărește timpii de răspuns. Companiile sunt în general așteptate să răspundă într-un interval de timp definit. Întârzierile sau răspunsurile incomplete pot fi raportate autorității naționale de protecție a datelor.

Ce înseamnă acest lucru pentru tine

Riscul tot mai mare de aplicare a legii legat de drepturile persoanei vizate conform GDPR este, în cele din urmă, o veste bună pentru indivizi. Înseamnă că drepturile de pe hârtie sunt susținute de consecințe reale atunci când sunt ignorate. Dacă te-ai întrebat vreodată cât de multe dintre informațiile tale personale circulă prin sistemele unei companii, depunerea unei cereri de acces la date este o modalitate legitimă și cu efort redus de a afla. Nu te costă nimic, iar companiile sunt obligate legal să răspundă.

În același timp, aceste cazuri sunt un memento că eșecurile în protecția datelor rareori rămân izolate. O companie care gestionează greșit cererea de acces a unei singure persoane gestionează adesea greșit guvernanța datelor în general, ceea ce afectează toți cei ale căror informații trec prin sistemele sale.

Ca punct de plecare, ia în considerare identificarea a două sau trei servicii care dețin informații personale semnificative despre tine, cum ar fi un fost angajator, un serviciu de abonament pe care nu îl mai folosești sau o platformă legată de date sensibile, și trimite o cerere formală de acces sau ștergere. Acordă atenție cât de rapid și de complet răspund. Acel răspuns îți va spune multe despre cât de serios tratează acea organizație drepturile persoanei vizate conform GDPR și dacă datele tale sunt cu adevărat sub control.