Получаването на искане от субект на данни за информация относно какви негови лични данни се обработват или за упражняване на други права по GDPR, може да се окаже истинско предизвикателство за администратора. Проверките, които трябва да се извършат в различните бази данни и архиви, изготвянето на отговор на искането и предоставянето на информацията, поглъщат сериозен човешки и времеви ресурс. Допълнително напрежение внасят краткият срок за отговор и опасността от налагане на имуществени санкции от надзорния орган при неизпълнение или непълно/неточно изпълнение на задължението на администратора.
Какво представлява искането за упражняване на права по GDPR?
Субектът на данни може да отправи своето искане по всякакъв начин. Напр. по имейл, по телефона, чрез интернет сайта или в страницата/профила на администратора в социалните мрежи.
Искането за упражняване на права по GDPR може да е в изцяло свободен текст. Няма нормативно утвърден образец. Субектът на данни не е длъжен да ползва и предоставена му от администратора бланка. Възможно е искането дори да не съдържа думи и изрази като „лични данни“ или „GDPR“.“
Ако получите запитване или искане с подобен текст, трябва да го разглеждате като искане за упражняване на права по GDPR:
- „Моля, да ми предоставите цялата информация, отнасяща се до мен, с която разполагате“;
- „Искам да знам каква информация имате за мен“;
- „Искам да знам от къде имате тази информация за мен“ и т.н.
Служителите на администратора често се затрудняват да разпознаят дали дадено писмо, молба, заявление, уведомление или съобщение всъщност представлява искане за упражняване на права по GDPR. За това е необходимо всеки от тях да премине обучение. Препоръчваме също така, администраторът да изготви детайлна вътрешна процедура как да действат служителите при получаване на искания от субект на данни.
Какви са изискванията за валидност на искането от субект на данни?
Искането за упражняване на права по GDPR трябва да е в писмена форма. Това е изискване за неговата валидност. Ако е изпратено по електронен път, то трябва да е подписано с електронен подпис.
Имайте предвид обаче, че според практиката на Комисията за защита на личните данни ако е получено невалидно искане по имейл, но администраторът му отговори, по този начин ще го признае за валидно. В този случай, ако с отговора не бъде предоставена цялата поискана информация, има риск субектът да подаде жалба до надзорния орган.
Заявлението за упражняване на права по GDPR трябва да съдържа:
- име, единен граждански номер и адрес на субекта на данни;
- описание на искането;
- предпочитаната форма за получаване на информация;
- подпис, дата на подаване и адрес за кореспонденция.
Ако искането се подава от пълномощник, трябва да се приложи и пълномощното. Имайте предвид, че според Комисията за защита на личните данни администраторът няма право да изисква пълномощното да е с нотариална заверка.
В случай че родител подава заявление, отнасящо се до лични данни на неговото дете, може да се поиска да представи акт за раждане на детето.
Когато заявлението не отговаря на посочените по-горе изисквания, администраторът трябва да уведоми лицето, подало искането, кои от тях не са спазени. Добра практика е, да му се предложи или изпрати по имейл образец на такова заявление.
В какъв срок трябва да се отговори на искането от субект на данни?
Администраторът трябва да отговори на искането на субекта на данни или да го информира писмено за действията, предприети във връзка с неговото искане, в срок от един месец от получаване на искането. Във вътрешните си правила администраторът може да предвиди по-кратък, но не и по-дълъг срок. Като практика се е наложил едномесечният срок за отговор.
Срокът може да се удължи еднократно с два месеца. Това е възможно само в случай на голяма сложност или брой на исканията.
Ако първоначално отправеното искане не е отговаряло на изискванията за валидност, срокът за отговор ще започне да тече от датата на отстраняване на пропуските.
Препоръчваме върху искането да се отбелязват началната и крайната дата на срока.
Може ли да се изисква такса от субект на данни?
Независимо колко усилия и време на служителите, както и други разходи, коства на администратора отговарянето на такива искания, той не може да изисква заплащането на каквито и да било такси от субекта на данни.
Има обаче и изключения. Те са предвидени, за да предотвратят евентуална злоупотреба с права от страна на субекта на данни.
Когато едно лице отправя очевидно необосновани или прекомерни (напр. повтарящи се) искания, администраторът може да определи такса. Нейният размер трябва да е съобразен с административните разходи за предоставяне на отговор на искането. Имайте предвид обаче, че ако данните се променят често, то тогава вероятно е разумно субектът на данни да отправя по-чести искания. Дали честите искания са необосновани или прекомерни следва да се преценява във всеки отделен случай.
Ако се нуждаете от консултация, изготвяне на документи или обучение във връзка със защитата на личните данни, свържете се с нас на e-mail: office@kgmp-legal.com
Изпратете запитване