Один лист із запитанням до компанії про те, які персональні дані вона зберігає про вас, може здатися незначним адміністративним запитом. Але згідно з нещодавніми правозастосовними рішеннями в Європі, цей один запит може стати тією ниткою, яка розплутає всі недоліки компанії у сфері захисту даних, і може коштувати їй мільйонів євро. Права суб'єктів даних за GDPR — інструменти, які дозволяють звичайним людям отримувати доступ до своїх персональних даних, виправляти, видаляти або переносити їх, — дедалі частіше стають механізмом, який регулятори використовують для викриття значно більших проблем всередині організацій.

Які у вас є права суб'єкта даних за GDPR і чому вони важливі

Відповідно до GDPR, кожен, чиї персональні дані обробляє компанія або організація, що діє в ЄС, має набір прав, які можна реалізувати. До них належать право знати, які дані збираються, право на доступ до копії цих даних, право на виправлення неточної інформації, право на видалення (часто зване «правом бути забутим») і право на отримання своїх даних у форматі, придатному для перенесення, щоб їх можна було перемістити до іншого сервісу.

Ці права не є новими. Вони існують відколи GDPR набув чинності. Змінюється те, як їх використовують. Регулятори та суди дедалі частіше розглядають окремий запит суб'єкта даних і те, як компанія на нього відповідає, як вікно в загальну систему управління даними компанії. Якщо бізнес не може повно й своєчасно відповісти на просте запитання на кшталт «що ви знаєте про мене і де це зберігається», такий збій часто сигналізує про глибші структурні проблеми: дані розкидані по роз'єднаних системах, відповідальність між командами нечітка, або процеси ніколи не проєктувалися з урахуванням прав окремих осіб.

Як одна скарга перетворилася на штраф у кілька мільйонів євро

Нещодавні європейські рішення наочно показують, як це відбувається на практиці. Особа реалізує базове право, часто щось просте, як-от запит на доступ до власних записів або прохання видалити свої дані. Компанія відповідає неповно, із запізненням або взагалі не відповідає. Те, що починається як рутинна скарга до органу із захисту даних, потім переростає в повноцінне розслідування, і це розслідування часто виявляє проблеми, які виходять далеко за межі початкового запиту: дані, що зберігаються без обґрунтування, непослідовне поводження між відділами або системи, які ніколи належним чином не перевірялися на відповідність вимогам.

Результат полягає в тому, що штрафи, пов'язані з такими справами, можуть сягати мільйонів євро, навіть попри те, що поштовхом була одна особа, яка реалізувала права, що вже існували на папері. Ця закономірність показує, що права суб'єктів даних — це не просто галочка для відповідності. Це активний важіль правозастосування, який регулятори готові використовувати, і однієї скарги часто достатньо, щоб відчинити двері.

Це перегукується з тим, що сталося з штрафом Uber у розмірі €825 млн за GDPR, який стосувався автоматизованих рішень, як-от блокування акаунтів, ухвалених без належної прозорості чи людського перегляду. В обох ситуаціях основна проблема була однаковою: персональні дані оброблялися в масштабі без систем, здатних належно їх враховувати, коли хтось ставив запитання або оскаржував рішення.

Що розкриває про вашу схильність до ризику те, як компанії намагаються відповідати вимогам

Для споживачів у цих історіях правозастосування прихований важливий урок. Якщо регулятори виявляють, що компаніям важко надати повну й точну картину даних окремої особи на офіційний запит, це переконливо свідчить про те, що багато організацій не мають чіткої внутрішньої картини також. Персональні дані часто зберігаються в більшій кількості місць, ніж компанії усвідомлюють: маркетингові бази даних, системи заявок у службу підтримки, аналітичні платформи, сторонні постачальники та резервні копії, які ніколи повністю не картографувалися.

Саме ця фрагментація є причиною того, чому один запит суб'єкта даних може викрити так багато. Він змушує компанію фактично простежити, де зберігається ваша інформація, і часто ця вправа виявляє прогалини, про існування яких організація не знала. Іншими словами, той самий запит, який захищає ваші права, також функціонує як практичний аудит того, наскільки серйозно компанія ставиться до захисту даних.

Як реалізувати свої права та перевірити власний цифровий слід

Вам не потрібно чекати, поки регулятор діятиме від вашого імені. Права суб'єктів даних за GDPR доступні вам безпосередньо, і скористатися ними часто досить просто:

  • Надішліть запит на доступ. Запитайте в компанії напряму, які персональні дані вона зберігає про вас, звідки вони надійшли та з ким ними ділилися.
  • Попросіть виправлення. Якщо якісь із наданих даних неточні або застарілі, ви маєте право вимагати їх виправити.
  • Попросіть видалення, коли це доречно. Якщо ви більше не користуєтеся сервісом або компанія не має законної причини зберігати ваші дані, вимагайте їх стирання.
  • Попросіть перенесення. Якщо ви хочете перемістити свою інформацію до іншого постачальника, попросіть надати її у структурованому, загальновживаному форматі.
  • Відстежуйте строки відповіді. Компанії, як правило, зобов'язані відповідати протягом визначеного строку. Про затримки або неповні відповіді можна повідомляти вашому національному органу із захисту даних.

Що це означає для вас

Зростання ризику правозастосування, пов'язаного з правами суб'єктів даних за GDPR, зрештою є хорошою новиною для окремих осіб. Це означає, що права на папері підкріплені реальними наслідками, коли їх ігнорують. Якщо ви коли-небудь замислювалися, скільки вашої особистої інформації циркулює в системах компанії, подання запиту на доступ до даних — це законний і маловитратний спосіб це з'ясувати. Це не коштує вам нічого, а компанії юридично зобов'язані відповісти.

Водночас ці справи нагадують, що недоліки у сфері захисту даних рідко залишаються локалізованими. Компанія, яка неналежно поводиться із запитом на доступ однієї особи, часто неналежно керує даними загалом, що впливає на кожного, чия інформація проходить через її системи.

Як відправну точку, подумайте про те, щоб визначити два-три сервіси, які зберігають значну особисту інформацію про вас, як-от колишній роботодавець, підписка, якою ви більше не користуєтеся, або платформа, пов'язана з чутливими даними, і подайте офіційний запит на доступ або видалення. Зверніть увагу на те, як швидко й повно вони відповідають. Ця відповідь багато розповість вам про те, наскільки серйозно ця організація ставиться до прав суб'єктів даних за GDPR, і чи справді ваші дані перебувають під контролем.