RODO przyznaje Ci katalog konkretnych praw wobec każdego, kto przetwarza Twoje dane: prawo do informacji, dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz prawo do niepodlegania decyzji opartej wyłącznie na automatyzacji. Administrator ma co do zasady miesiąc na realizację Twojego żądania, a gdy odmówi lub nie odpowie – możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.
Twoje prawa w RODO to nie teoria zapisana w rozporządzeniu, ale realne uprawnienia, z których możesz korzystać wobec podmiotów przetwarzających Twoje dane osobowe. Z mojego doświadczenia wynika, że wiele osób nie sięga po te prawa nie dlatego, że ich nie potrzebuje, ale dlatego, że nie wie, jak działają. Poniżej tłumaczę każde z nich po kolei – co dokładnie oznacza i kiedy możesz z niego skorzystać.
Spis treści
Jakie prawa przysługują Ci na mocy RODO?
Wymienione niżej uprawnienia można uporządkować w trzy grupy. Pierwsza służy zdobyciu wiedzy o przetwarzaniu – to prawo do informacji i prawo dostępu. Druga pozwala aktywnie wpłynąć na dane – sprostować je, usunąć, ograniczyć ich przetwarzanie, przenieść do innego podmiotu lub wnieść sprzeciw. Trzecia to narzędzia obrony, gdy coś idzie nie tak – prawo do niepodlegania decyzji automatycznej oraz prawo do skargi.
Prawo do informacji - art. 13 i 14 RODO
Masz prawo wiedzieć, kto przetwarza Twoje dane, w jakim celu, na jakiej podstawie prawnej i jak długo będą one przechowywane. Gdy dane zbierane są bezpośrednio od Ciebie, administrator przekazuje te informacje już podczas ich pozyskiwania (art. 13 RODO) – w sposób zrozumiały i konkretny, a nie zasłaniając się ogólnikami. Jeżeli dane zebrano nie od Ciebie, lecz z innego źródła, obowiązek wynika z art. 14 RODO: informację należy przekazać w rozsądnym terminie, najpóźniej w ciągu miesiąca, a dodatkowo wskazać źródło pochodzenia danych. To właśnie tę powinność realizuje obowiązek informacyjny administratora.
Prawo dostępu do danych - art. 15 RODO
Możesz sprawdzić, czy Twoje dane są przetwarzane, i uzyskać ich kopię. Administrator dostarcza pierwszą kopię bezpłatnie; za kolejne może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli zwracasz się drogą elektroniczną i nie zaznaczysz inaczej, informacji udziela się również elektronicznie.
W ramach prawa dostępu otrzymujesz potwierdzenie przetwarzania oraz informacje o:
- celach przetwarzania,
- kategoriach przetwarzanych danych,
- odbiorcach lub kategoriach odbiorców danych,
- planowanym okresie przechowywania danych,
- źródle danych, jeśli nie zebrano ich od Ciebie,
- zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu,
- przysługujących Ci prawach.
Prawo do sprostowania - art. 16 RODO
Masz prawo żądać niezwłocznego sprostowania danych, które są nieprawidłowe, oraz uzupełnienia danych niekompletnych – także poprzez przedstawienie dodatkowego oświadczenia. To proste, ale często niedoceniane uprawnienie. Aktualne i poprawne dane chronią Cię przed błędnymi decyzjami administratora.
Prawo do usunięcia danych - art. 17 RODO
Możesz żądać usunięcia swoich danych, a administrator ma obowiązek zrobić to bez zbędnej zwłoki, jeżeli zachodzi jedna z okoliczności:
- dane nie są już niezbędne do celów, w których je zebrano,
- cofnąłeś zgodę na przetwarzanie danych, na której opierało się przetwarzanie, i nie ma innej podstawy prawnej,
- wniosłeś skuteczny sprzeciw wobec przetwarzania,
- dane były przetwarzane niezgodnie z prawem,
- usunięcie jest wymagane przepisami prawa Unii lub państwa członkowskiego,
- dane zebrano w związku z oferowaniem usług społeczeństwa informacyjnego dziecku.
Prawo to nie jest bezwzględne. Administrator może odmówić, gdy przetwarzanie jest niezbędne m.in. do korzystania z wolności wypowiedzi i informacji, wywiązania się z obowiązku prawnego, celów archiwalnych, naukowych lub statystycznych w interesie publicznym albo do ustalenia, dochodzenia lub obrony roszczeń. Jeśli administrator wcześniej upublicznił dane, musi też – biorąc pod uwagę dostępną technologię i koszt – poinformować innych administratorów o Twoim żądaniu usunięcia. Z perspektywy firmy realizacja takiego żądania wiąże się z dodatkowymi obowiązkami informacyjnymi, które często są pomijane.
Prawo do ograniczenia przetwarzania - art. 18 RODO
Zamiast usunięcia możesz czasowo „zatrzymać” przetwarzanie. Prawo to przysługuje, gdy:
- kwestionujesz prawidłowość danych – na okres weryfikacji przez administratora,
- przetwarzanie jest niezgodne z prawem, a Ty zamiast usunięcia żądasz ograniczenia,
- administrator nie potrzebuje już danych, ale są one potrzebne Tobie do ustalenia, dochodzenia lub obrony roszczeń,
- wniosłeś sprzeciw na podstawie art. 21 ust. 1 RODO – do czasu rozstrzygnięcia, czyje podstawy są nadrzędne.
Prawo do przenoszenia danych - art. 20 RODO
Masz prawo otrzymać dostarczone administratorowi dane w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego oraz przesłać je innemu administratorowi. Prawo to działa jednak tylko wtedy, gdy przetwarzanie odbywa się w sposób zautomatyzowany i opiera się na zgodzie lub na umowie. Jeśli jest to technicznie możliwe, możesz żądać, by dane przesłano bezpośrednio do innego administratora.
Prawo do sprzeciwu - art. 21 RODO
W dowolnym momencie możesz wnieść sprzeciw – z przyczyn związanych z Twoją szczególną sytuacją – wobec przetwarzania opartego na interesie publicznym lub prawnie uzasadnionym interesie administratora (art. 6 ust. 1 lit. e lub f RODO), w tym profilowania. Po sprzeciwie administrator nie może już przetwarzać Twoich danych, chyba że wykaże ważne, prawnie uzasadnione podstawy nadrzędne wobec Twoich praw albo podstawy do ustalenia, dochodzenia lub obrony roszczeń. W przypadku marketingu bezpośredniego sprzeciw jest bezwarunkowy – administrator musi go uwzględnić.
Prawo do niepodlegania decyzji automatycznej - art. 22 RODO
Masz prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeśli wywołuje ona wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływa. Nie dotyczy to sytuacji, gdy decyzja jest niezbędna do zawarcia lub wykonania umowy, dozwolona prawem albo oparta na Twojej wyraźnej zgodzie. Decyzje takie co do zasady nie mogą opierać się na szczególnych kategoriach danych (art. 9 ust. 1 RODO), poza wyjątkami przewidzianymi w art. 9 ust. 2 lit. a lub g RODO i przy odpowiednich zabezpieczeniach.
Prawo do wniesienia skargi do organu nadzorczego - art. 77 RODO
Niezależnie od pozostałych uprawnień masz prawo wnieść skargę do organu nadzorczego, jeżeli uznasz, że przetwarzanie Twoich danych narusza RODO. W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych. Z prawa tego możesz skorzystać zwłaszcza wtedy, gdy administrator nie reaguje na Twoje żądanie, odmawia jego realizacji bez przekonującego uzasadnienia albo przetwarza dane w sposób, który budzi Twoje wątpliwości.
Co istotne, skarga do organu nie wyłącza innych dróg ochrony. Możesz z niej skorzystać równolegle z drogą sądową, a ciężar wykazania, że przetwarzanie było zgodne z prawem, spoczywa na administratorze, nie na Tobie – to wynik zasady rozliczalności z art. 5 ust. 2 RODO. W skardze warto opisać, czego dotyczyło Twoje żądanie, kiedy i w jakiej formie je złożyłeś, oraz dołączyć posiadaną korespondencję z administratorem.
Jak możesz skorzystać z przysługujących Ci praw
Żądanie możesz złożyć w dowolnej formie – pisemnie, elektronicznie lub ustnie. Administrator ma na odpowiedź co do zasady miesiąc od otrzymania wniosku (art. 12 ust. 3 RODO). Termin ten można przedłużyć o kolejne dwa miesiące ze względu na skomplikowany charakter żądania lub liczbę wniosków – ale wtedy administrator musi Cię o tym poinformować w ciągu pierwszego miesiąca i podać przyczynę. Realizacja Twoich praw jest co do zasady bezpłatna.
Jeżeli administrator odmawia, milczy albo realizuje żądanie wadliwie, przysługuje Ci skarga do Prezesa Urzędu Ochrony Danych Osobowych. To środek, po który warto sięgnąć, gdy bezpośredni kontakt z administratorem nie przynosi skutku.
Jeśli prowadzisz organizację i chcesz mieć pewność, że potrafisz prawidłowo obsłużyć żądania osób, których dane dotyczą – pomożemy wdrożyć procedury i dokumentację zgodne z RODO. Skontaktuj się z nami, a sprawdzimy, czego brakuje w Twojej firmie.
