Što je zahtjev za pristup podatkovnog subjekta?

Zahtjev za pristup podacima (DSAR) je formalni pisani zahtjev pojedinca subjekta za podatke organizacije, koji traži od te organizacije da dostavi kopiju osobnih podataka koje ima o njima. DSAR-ovi su temelj zakona o zaštiti podataka, dajući pojedincima direktan način da vide koje se informacije obrađuju i da provjere da li se postupa zakonito, pravedno i transparentno. U irskom kontekstu pravo pristupa je sadržano u članku 15. Opće uredbe o zaštiti podataka (GDPR) i dodatno razjašnjeno Zakonom o zaštiti podataka 2018.

Osobni podaci obuhvaćaju gotovo sve informacije koje se odnose na identificiranu ili prepoznatljivu fizičku osobu. To uključuje imena, identifikacijske brojeve, podatke o lokaciji, online identifikatore, i sve čimbenike specifične za fizičku, fizičku, genetsku, mentalnu, ekonomsku, kulturnu ili društvenu osobnost te moguće je da se DSAR iz bilo kojeg razloga izradi znatiželja, briga o točnosti, priprema za parničenje ili jednostavno ostvarivanje temeljnog prava. Bez obzira na motiv, organizacije moraju ozbiljno postupati s DSAR-om i odgovoriti unutar strogih vremenskih linija.

Pravni okvir za DSAR-ove u Irskoj

Irski krajolik zaštite podataka oblikovan je prvenstveno od strane GDPR-a (Regulacija (EU) 2016/679) i nacionalnog provedbenog zakonodavstva, Zakona o zaštiti podataka 2018.

Ključne odredbe u okviru GDPR-a

Članak 15. GDPR daje svakom podatku pravo da dobije potvrdu voditelja obrade o tome da li se obrađuju osobni podaci koji se odnose na njih, a, ako je to slučaj, pristup tim podacima. Kontrolor mora dati i kopiju podataka koji se obrađuju, uz određene dodatne informacije:

  • Svrha obrade.
  • Kategorije osobnih podataka.
  • Primatelji (ili kategorije primatelja) kojima su osobni podaci bili ili će biti objavljeni, posebno primatelji u trećim zemljama ili međunarodnim organizacijama.
  • Predviđeno razdoblje za koje će se osobni podaci čuvati ili, ako nije moguće, kriteriji koji se koriste za određivanje tog razdoblja.
  • Ako je to primjenjivo, u skladu s člankom 2. stavkom 2.
  • Pravo na podnošenje pritužbe u DPC-u.
  • Ako podaci nisu prikupljeni od ispitanika, bilo koje dostupne informacije o njegovom izvoru.
  • Postojanje automatiziranog odlučivanja, uključujući profiliranje i smislene informacije o uključenoj logici, kao i značaj i predviđene posljedice.

Zakon o zaštiti podataka 2018. dodaje neke odredbe irske specifičnosti. Na primjer, odjeljak 61. Zakona omogućuje voditelju obrade da odbije poštivanje DSAR-a u kojem bi zahtjev uključivao otkrivanje informacija koje se odnose na drugog pojedinca, osim ako je osoba pristala ili je razumno da se pridržava bez njihove suglasnosti. Zakon također pruža izuzeća za određene vrste obrade, kao što su istraživanje, arhiviranje i sprečavanje kriminala, iako se to mora primjenjivati usko.

Pravo na kopiju i prevladavanje odgovora

Na temelju članka 15. stavka 3., voditelj obrade mora dostaviti kopiju osobnih podataka koji se podvrgavaju obradi. Prvi primjerak je besplatan; razumna naknada može se naplatiti samo za naknadne kopije ili za zahtjeve koji su očito neosnovani ili pretjerani. Podaci bi se trebali dostaviti u sažetom, transparentnom, razumljivom i lako dostupnom obliku, koristeći jasan i jednostavan jezik. Kada je to moguće, podaci bi se trebali pružati elektronički u uobičajeno korištenom formatu kao što su PDF, CSV ili JSON datoteka.

Kako predati DSAR u Irskoj

Svaki pojedinac može napraviti DSAR izravno na organizaciju. Ne postoji specifičan oblik ili čarobna fraza potrebna jednostavan e-mail ili pisano pismo jasno navodeći zahtjev je dovoljno. Međutim, kako bi se osiguralo da je zahtjev obrađen učinkovito, najbolje je da:

  • Ako je poznato, uputi zahtjev službeniku za zaštitu podataka organizacije (DPO) ili određenoj kontaktnoj osobi za zaštitu podataka.
  • Osigurati dovoljno osobnih podataka kako bi organizacija mogla provjeriti identitet (npr. puno ime, e-mail adresa, broj računa ili referentni broj).
  • Navedite vrstu podataka ili vremensko razdoblje interesa, posebno ako organizacija posjeduje veliki obujam podataka (npr.Svi osobni podaci obrađeni između siječnja 2023. i siječnja 2024.”).
  • Navedite preferirani format za odgovor (npr. elektronički ili papirni).

Organizacija može zatražiti dodatni dokaz identiteta prije nego odgovori. To je dopušteno sve dok je zahtjev razmjeran. Na primjer, traženje putovnice kopiju je razumno; traženje izvornog dokumenta koji je skup za dobivanje može se smatrati pretjeranim. Organizacija bi također trebala potvrditi primitak DSAR i objasniti sljedeće korake, uključujući očekivani vremenski okvir.

Što organizacije moraju činiti kad dobiju DSAR

Nakon što se DSAR primi, organizacija (kontrolor podataka) mora djelovati bez nepotrebnog odgađanja i u svakom slučaju u roku od mjesec dana od primitka. Sat počinje otkucavati na dan kada je zahtjev stigao ako organizacija treba provjeriti identitet, vremenski slijed se pauzira dok se ne završi provjera. Jednomjesečno razdoblje može se produžiti za dodatna dva mjeseca gdje je zahtjev složen ili gdje je ispitanik napravio više zahtjeva. Ako je potrebno proširenje, organizacija mora obavijestiti subjekta o podacima u prvom mjesecu, objašnjavajući razloge za kašnjenje.

Ovdje su ključni koraci za upravljanje DSAR-om u Irskoj:

  • Validirati zahtjev: Potvrditi da je to doista DSAR i da se je zahtjevnik sam identificirao.
  • Verificirati identitet: Koristite razumne mjere kako biste osigurali osobu koja podnosi zahtjev je tko tvrdi da je. To može uključivati provjeru interne evidencije, traženje putovnice, ili korištenjem dvofaktorske autentifikacije.
  • Traži podatke: Pronađi sve osobne podatke koji se nalaze u cijeloj organizaciji ne samo u primarnom IT sustavu, već i u e-pošti, pohrani oblaka, arhivi, backups (ako se može doći do njih), papirnim datotekama, CCTV snimkama, i bilo koje treće strane sustavima koji se koriste.
  • Recenzija i redaktacija: Prije razotkrivanja, pregledajte podatke za uklanjanje osobnih podataka trećih osoba koje se ne mogu zakonito podijeliti, ili bilo koje informacije koje bi mogle dovesti u pitanje istragu ili pravni postupak. Organizacija mora uravnotežiti pravo ispitanika na pristup protiv prava drugih.
  • Omogućiti odgovor: Pošalji podatke u jasnom formatu, zajedno s dodatnim informacijama potrebnim člankom 15. Uključite pismo koje objašnjava što je dano i sva izuzeća na koja se oslanjaju.
  • Dokumentirajte sve: Držite unutarnji zapis DSAR-a, poduzeti koraci i racionalni za bilo kakve odluke. To je od vitalnog značaja za odgovornost i za obranu bilo kakve pritužbe DPC-u.

Izazovi u rješavanju DSAR-ova

DSAR-ovi mogu biti intenzivni za resurse, posebno za organizacije s rasprostranjenim podatkovnim ekosustavima, sustavima ostavštine ili visokim prometom osoblja. Zajednički izazovi uključuju:

  • Otkrivanje podataka: Osobni podaci mogu biti raspršeni po više baza podataka, zajedničkih diskova, računa e-pošte, pa čak i internih platformi za chat. Bez odgovarajućeg mapiranja podataka, lociranje relevantnih podataka može potrajati tjednima.
  • Broj i složenost:] Jedan DSAR može uključivati tisuće dokumenata. Recenziranje, redekcija i koliranje ovog materijala u roku od mjesec dana često je iznimno teško.
  • Podaci trećih strana: Razotkrivanje podataka pojedinca može nehotice otkriti informacije o drugoj osobi (npr. plaća kolege ili pritužba klijenta). Organizacija mora odlučiti hoće li preinačiti, uskratiti ili tražiti pristanak.
  • Manifestantno neosnovani ili pretjerani zahtjevi: GDPR dopušta organizaciji da odbije ili naplati razumnu naknadu za zahtjeve koji su očito neosnovani ili pretjerani. Međutim, teret dokaza leži kod organizacije, a bar je postavljen visoko. DPC očekuje da kontrolori pokazuju konkretne dokaze zlostavljanja, a ne samo neugodnosti.
  • Prekogranični zahtjevi: Ako je ispitanik sa sjedištem u drugoj državi članici EU-a, organizacija se mora i dalje pridržavati i možda će trebati koordinirati s drugim kontrolorima podataka ili procesorima podataka.
  • Zahtjevi za zaposlenike: Zaposlenici mogu u bilo koje vrijeme, uključujući tijekom disciplinskog postupka ili nakon napuštanja posla. Ovi zahtjevi su često osjetljivi i osjetljivi na vrijeme, zahtijevaju pažljivo postupanje kako bi se izbjegli sukobi s pravom zapošljavanja.

Najbolje prakse za organizacije

Kako bi se učinkovito upravljalo DSAR-ima i izbjeglo provođenje DPC-a, irske organizacije trebale bi usvojiti sljedeće prakse:

1. Održavajte inventar osobnih podataka

Inventar podataka ili mapa podataka koji bilježe što se prikupljaju osobni podaci, gdje se pohranjuju, tko ima pristup, i koliko dugo je zadržan je jedan od najkorisnijih alata za odgovor na DSAR-ove. Bez njega, traženje podataka postaje vatrena bušotina. Inventar treba biti u toku i redovito pregledan.

2. Provesti politiku i postupak DSAR-a

Formalizirati proces: odrediti vlasnika DSAR-a (često DPO), definirati uloge i odgovornosti, odrediti unutarnje rokove (npr., odgovoriti u roku od 20 dana kako bi se omogućilo pufer), i stvoriti predloške slova za priznavanje, provjeru identiteta, proširenja i konačne odgovore. Vlak svim osobljem koje bi moglo primiti DSAR posebno front-line korisničke usluge i HR timove tako da ga odmah prepoznaju i proslijede pravoj osobi.

3. Koristite tehnologiju za automatiziranje pretraživanja

Prednosti e-otkrića alati, platforme za prevenciju gubitka podataka ili namjenski DSAR softver za upravljanje pretraživanjem sustava, zastaviti osobne podatke i automatizirati redukciju. Za organizacije koje koriste modernu platformu podataka poput Directusa, izgradnju DSAR radnog toka koji postavlja upite u bazi podataka i izvoz relevantnih podataka može dramatično smanjiti ručne napore. Međutim, svako automatizirano rješenje mora se testirati kako bi se osigurala njegova zarada svih relevantnih polja.

4. Pažljivo primijenite izuzeća

GDPR i Zakon o zaštiti podataka 2018. pružaju ograničena izuzeća od prava pristupa primjerice, radi zaštite pravne profesionalne privilegije, izbjegavanja ometanja kaznenih istraga ili kada su podaci podložni pravno obvezujućem ugovoru o povjerljivosti. Ne oslanjajte se na izuzeća od deka; svaki slučaj mora se ocjenjivati pojedinačno, a razlozi odbijanja ili ograničavanja pristupa moraju se dokumentirati i priopćiti ispitaniku.

5. Komunikacija Proaktivno

Ako DSAR traje dulje od mjesec dana, obavijestite ispitanika o podacima u prvom mjesecu i objasnite zašto. Ako se neki podaci uskrate, objasnite pravnu osnovu. Podatkovni subjekt koji se osjeća zadržan u petlji je daleko manja vjerojatnost da će eskalirati pritužbu na DPC. Obrnuto, šutnja ili neodgovornost je najsigurniji način da se pozove regulatorni nadzor.

6. Nadgledaj i uči

Pratite volumene DSAR-a, vrijeme preokreta i vrste zahtjeva. Koristite ove podatke za identifikaciju ponavljajućih problematičnih područja na primjer, ako se mnogi zahtjevi odnose na HR podatke, razmislite o poboljšanju načina na koji se podaci zaposlenika organiziraju. Redovito pregledajte DSAR proces i ažurirajte ga u skladu s DPC smjernicama.

Nedavni razvoj i usmjeravanje u okviru DPC-a

DPC je izdao nekoliko provedbenih odluka i smjernica koje oblikuju kako DSAR-ovi se rukuju u Irskoj. Značajne točke:

  • Guidance o naplaćivanju naknada: DPC je naveo da naknade moraju biti ograničene na administrativne troškove i samo su dozvoljene za očito neosnovane ili pretjerane zahtjeve. Deka “Pristojba za primjenu” za sve DSAR-ove nije dopuštena.
  • Navod o automatiziranom odlučivanju: Kada se DSAR odnosi na automatizirane odluke ili profiliranje, organizacija mora pružiti značajne informacije o logici iza odluke, a ne samo kopiju podataka. To je posebno važno za organizacije koje koriste AI ili strojno učenje.
  • Potpuno djelovanje: DPC je uvela znatne novčane kazne organizacijama koje nisu odgovorile na DSAR-ove u razdoblju od mjesec dana ili koje su pružale nepotpune odgovore bez odgovarajućeg opravdanja. Na primjer, 2023. godine, glavni irski zrakoplovni prijevoznik je kažnjen novčanom kaznom od 400 000 EUR zbog toga što nije adekvatno odgovorio na više DSAR-ova.
  • Interakcija s drugim pravima: DPC je pojasnio da pravo pristupa ne prebacuje druge pravne obveze kao što su profesionalna tajnost ili zahtjevi za pristup podacima koje je postavila druga osoba. Organizacije moraju uravnotežiti prava i možda će trebati redigirati ili tražiti pristanak trećih osoba.

Za najsadašnje smjernice organizacije bi se trebale redovito konzultirati sa službenim stranicama DPC-a na dataprotection.ie] i uputiti na smjernice EDPB-a (European Data Protection Board) o pravu pristupa. Puni tekst GDPR-a dostupan je na EUR-Lex. Osim toga, Zakon o zaštiti podataka iz Irske 2018. nalazi se na irskoj knjizi statuta irishstatutebook.ie.

Zašto je DSAR-ima važno neusklađenost

Osim pravne obveze, dobro rukovanje DSAR jača povjerenje. Kada pojedinac upita organizaciju \"Što znate o meni?\" i dobiva potpun, jasan i pravovremen odgovor, to pokazuje da organizacija uzima privatnost ozbiljno. U današnjem svijetu temeljenom na podacima, to povjerenje je konkurentna prednost. Za pedagoge i studente, razumijevanje DSAR-a nije samo o poznavanju zakona radi se o osnaživanju pojedinaca da ostvaruju svoje temeljno pravo na kontroli vlastitih informacija. Ugrađujući kulturu transparentnosti i poštovanja osobnih podataka, Irske organizacije mogu izgraditi jače odnose s klijentima, zaposlenicima i javnosti.