GDPR v praxi: právo na přístup k údajům a jejich výmaz

Nařízení (EU) 2016/679, známé jako GDPR, upravuje zpracování osobních údajů v Evropské unii. Kromě povinností pro firmy dává i práva jednotlivcům, například právo na přístup k údajům. Mnoho lidí je nezná nebo neví, jak je uplatnit. Tento text popisuje základní práva a obecný postup. Nejde o právní poradenství a ve složitějších situacích se obraťte na odborníka.

Základní práva

Právo na přístup umožňuje získat potvrzení, zda správce zpracovává vaše údaje, a kopii těchto údajů spolu s informacemi o účelu, příjemcích a době uchovávání. Právo na opravu umožňuje nechat si opravit nepřesné údaje. Právo na výmaz, často nazývané právo být zapomenut, můžete uplatnit za určitých podmínek, například pokud údaje už nejsou potřebné pro původní účel nebo pokud jste odvolali souhlas.

Existují také práva na omezení zpracování, na přenositelnost údajů a na vznesení námitky proti zpracování, například pro účely přímého marketingu. Rozsah každého práva a výjimky určuje nařízení, proto ne všem žádostem musí být vyhověno v plném rozsahu.

Jak postupovat při žádosti

Nejprve zjistěte, kdo je správce. Kontakt na něj, případně na pověřence pro ochranu osobních údajů, najdete v zásadách ochrany osobních údajů na webu služby. Žádost napište jasně: uveďte, které právo uplatňujete, a poskytněte informace potřebné k vaší identifikaci, přičemž nesdílejte více údajů, než je nutné. Uschovejte si kopii žádosti a datum odeslání.

Správce má povinnost odpovědět ve lhůtě stanovené nařízením, kterou může za určitých okolností prodloužit. Přesné lhůty si ověřte přímo v textu nařízení. Pokud správce nereaguje, upozorněte ho na jeho povinnost a zvažte další postup.

Při psaní žádosti pomáhá věcný tón a přesnost. Uveďte, o jaké údaje jde, za jaké období a případně jaký účet nebo e-mailovou adresu používáte. Pokud od správce požadujete elektronickou kopii údajů, zmiňte to. Pokud správce žádá ověření totožnosti, může to být oprávněné, ale neměl by vyžadovat více údajů, než je nezbytné.

Co čekat a kde jsou omezení

Správce může žádost odmítnout, pokud má pro zpracování jiný zákonný důvod, například zákonnou povinnost údaje uchovávat. Tak je tomu například u účetních dokladů nebo u údajů, které je třeba uchovat kvůli právním nárokům. V takovém případě by měl odmítnutí odůvodnit. U finančních služeb, například u kryptoburz, se uplatňují i pravidla o ověřování zákazníků, proto některé údaje zůstanou uloženy i po zrušení účtu. Více se dozvíte v sekci o burzách a v přehledu daně a regulace.

Žádost se týká údajů uchovávaných správcem. Údaje, které už byly předány dalším příjemcům, můžete dohledat přes informace o příjemcích a požádat i je.

U odpovědi si všímejte, zda obsahuje vše, co nařízení vyžaduje: účely zpracování, kategorie údajů, příjemce a dobu uchovávání. Neúplná odpověď je důvodem k doplňující otázce. Ve složité situaci, například při sporech, může být vhodné poradit se s právníkem, který se zaměřuje na ochranu osobních údajů.

Pokud se nedaří

Pokud odpověď nedostanete nebo nejste spokojeni, můžete podat stížnost dozorovému úřadu. V Česku je to Úřad pro ochranu osobních údajů (ÚOOÚ), jehož stránky obsahují informace o postupu. Na evropské úrovni téma koordinuje Evropský sbor pro ochranu osobních údajů. Kromě toho existují i soudní cesty, u kterých doporučujeme poradit se s právníkem.

V rámci prevence zvažte, kterým službám skutečně dáváte své údaje. Čím méně jich zveřejníte, tím méně je třeba mazat. Souvisí s tím i digitální stopa a pojmy ve slovníku.