Щоразу, коли компанія зазнає витоку даних або її викривають у неналежному поводженні з персональною інформацією, виникає одне й те саме питання: що насправді можуть зробити постраждалі люди? Відповідь криється в наборі правових механізмів, відомих як права GDPR, які застосовуються до кожного, чиї персональні дані збираються, зберігаються або обробляються організацією, що діє у Великій Британії чи ЄС.

Нещодавній матеріал від Prospect360 пояснює ці механізми захисту згідно з UK GDPR, охоплюючи все — від права на доступ до власних даних до права на їх видалення. Розуміння цих прав — це не лише юридична вправа. Це практичний інструмент для кожного, хто хоче більше контролювати те, як використовується його персональна інформація, особливо з огляду на те, що витоки даних і регуляторні штрафи продовжують потрапляти в заголовки новин.

Які права мають особи відповідно до GDPR

UK GDPR надає особам, яких часто називають суб'єктами даних, низку прав щодо їхніх персональних даних. Це включає право знати, які дані організація зберігає про них, право запитувати копію цих даних і право на виправлення неточної інформації. Мабуть, найбільш відомим є право на видалення, яке іноді називають правом на забуття, що дозволяє людям просити організації видалити їхні персональні дані за певних обставин.

Інші права стосуються того, як використовуються дані, а не лише того, що зберігається. Особи можуть заперечувати проти певних типів обробки, вимагати обмеження подальшого використання своїх даних, доки вирішується спір, а в деяких випадках — просити передати їхні дані іншому постачальнику. Ці права існують саме тому, що персональні дані, щойно зібрані, можуть використовуватися способами, які впливають на людей ще довго після того, як вони їх передали, — чи то таргетована реклама, автоматизоване прийняття рішень, чи просто продаж третій стороні без чіткої згоди.

Чому ці права важливі: уроки з нещодавніх інцидентів

Права GDPR — це не абстрактні правові концепції. Вони стають критично важливими щоразу, коли компанія втрачає контроль над даними клієнтів або її викривають у неналежному поводженні з ними. Регулятори по всій Європі продемонстрували готовність накладати значні штрафи, коли організації не дотримуються цих механізмів захисту. Рішення Нідерландського управління із захисту даних оштрафувати Uber на €825 мільйонів за порушення GDPR щодо водіїв є одним із найяскравіших нещодавніх прикладів того, наскільки серйозно контролюючі органи ставляться до порушень прав суб'єктів даних.

Витоки даних у телекомунікаційних і медичних провайдерів демонструють, чому ці права важливі для звичайних людей, а не лише для корпорацій. Витік даних Odido, що оголив 6,2 мільйона записів, залишив клієнтів із вкраденими банківськими реквізитами в руках зловмисників, тоді як витік у білінговій системі Unimed, що зачепив пацієнтів німецьких університетських клінік, оголив чутливу медичну інформацію через стороннього постачальника. В обох випадках постраждалі мали право знати, які дані були залучені, і вимагати відповідей про те, як ці дані використовувалися та захищалися.

Навіть державні системи не застраховані. Витік у порталі паспортів ANTS у Франції показав, що інфраструктура ідентифікаційних документів може бути атакована так само легко, як і бази даних приватних компаній, що підкреслює, чому права GDPR застосовуються широко в усіх секторах, а не лише до технологічних компаній.

Як реалізувати свої права GDPR

Реалізація цих прав зазвичай починається з прямого запиту до організації, яка зберігає ваші дані, — часто це називається запитом на доступ до даних, коли йдеться про перегляд інформації, що зберігається. Організації зобов'язані відповісти протягом встановленого строку і не можуть просто ігнорувати або безстроково відкладати такі запити. Якщо компанія не виконує вимоги, особи у Великій Британії можуть передати справу до Управління комісара з питань інформації — регулятора, відповідального за забезпечення дотримання UK GDPR.

Під час подання запиту корисно бути конкретним, чи то запит на копію всіх збережених даних, виправлення неточного запису, чи повне видалення облікового запису. Ведення письмового запису запиту та будь-якої отриманої відповіді також зміцнює вашу позицію, якщо згодом знадобиться подати скаргу.

Що це означає для вас

Якщо ви користуєтеся будь-яким онлайн-сервісом — від застосунку для спільних поїздок до білінгового порталу медичного закладу — ви вже маєте права на дані, які ці компанії зберігають про вас. Вам не потрібно чекати на витік, щоб скористатися ними. Запит копії ваших даних, перевірка їх на точність або прохання до компанії видалити інформацію, яку ви більше не хочете, щоб вони зберігали, — все це дії, доступні просто зараз, незалежно від того, чи потрапляла ця організація в новини.

Коли витоки все ж трапляються, як, наприклад, крадіжка фармацевтичних даних, що зачепила дані клінічних досліджень Novo Nordisk, знання своїх прав GDPR означає, що ви краще підготовлені вимагати прозорості щодо того, що було розкрито і що компанія робить у відповідь.

Ключові висновки

Розуміння своїх прав GDPR повертає реальну владу у ваші руки як особи, а не залишає захист даних повністю на розсуд компаній і регуляторів. Переглядайте політики конфіденційності перед реєстрацією в нових сервісах, подавайте запит на доступ до даних, якщо ви не впевнені, які дані компанія зберігає про вас, і не вагайтеся передавати невирішені питання до Управління комісара з питань інформації. Обізнаність про права GDPR — один із найпростіших способів захистити свою персональну інформацію в середовищі, де витоки та регуляторні штрафи стають дедалі поширенішими.