Prava ispitanika prema GDPR-u: što vaša tvrtka mora omogućiti

GDPR pojedincima daje niz prava nad njihovim osobnim podacima, a vašoj tvrtki nameće obvezu da ta prava omogućite i dokažete da ih provodite. Ta prava nisu teorijska. Svaki kupac, korisnik, zaposlenik ili posjetitelj koji vam je ostavio podatke može zatražiti uvid u njih, ispravak, brisanje ili prijenos drugom pružatelju, i vi na to morate odgovoriti u zakonskom roku. Ako obrađujete osobne podatke ljudi iz Europske unije, primjenjuje se GDPR bez obzira na to gdje vam je sjedište, pa se prava ispitanika tiču i tvrtki koje posluju online izvan Hrvatske.

Za regulirane tvrtke, u financijama, zdravstvu, kritičnoj infrastrukturi i SaaS-u, ovo je operativno pitanje, a ne pravna formalnost. Ispitanik koji zatraži svoje podatke ili njihovo brisanje, a ne dobije odgovor u roku, može podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP), što često pokreće nadzor. U tom trenutku se vidi znate li uopće koje podatke imate i gdje se nalaze. Tvrtka koja nema pregled svojih sustava ne može pronaći sve podatke o jednoj osobi, pa ne može ni odgovoriti točno i na vrijeme. Ovaj tekst objašnjava koja su prava, što svako znači u praksi, u kojem roku i obliku odgovarate te kada zahtjev smijete ograničiti, naplatiti ili odbiti.

Ovo je dio našeg potpunog vodiča kroz GDPR. Postupke i evidencije za prava ispitanika uspostavljamo kroz sigurnosni program i rizik.

Koja su prava ispitanika

Prava su propisana člancima 15. do 22. GDPR-a. Ne primjenjuje se svako pravo u svakoj situaciji, jer to ovisi o pravnoj osnovi obrade i okolnostima, ali tvrtka mora znati ispuniti svako od njih.¹ U nastavku objašnjavamo što svako pravo znači u praksi, a ne samo kako glasi u tekstu Uredbe.

Pravo na pristup (članak 15.) znači da ispitanik može tražiti potvrdu obrađujete li njegove podatke i, ako obrađujete, uvid u te podatke i informaciju o svrhama, primateljima, razdoblju čuvanja i izvoru. Pravo na ispravak (članak 16.) traži da netočne podatke ispravite, a nepotpune dopunite. Pravo na brisanje ili pravo na zaborav (članak 17.) primjenjuje se kad podaci više nisu potrebni, kad je povučena privola na kojoj se obrada temeljila ili kad je obrada bila nezakonita.

Pravo na ograničenje obrade (članak 18.) omogućuje da ispitanik privremeno zaustavi obradu, primjerice dok se provjerava točnost podataka ili rješava prigovor. Pravo na prenosivost (članak 20.) odnosi se na podatke koje je ispitanik sam dao, kad se obrada temelji na privoli ili ugovoru i provodi automatizirano, i traži da ih dobije u strukturiranom, strojno čitljivom obliku ili prenesete drugom voditelju. Pravo na prigovor (članak 21.) ispitanik koristi protiv obrade po legitimnom interesu i, bezuvjetno, protiv izravnog marketinga. Članak 22. daje pravo da se na osobu ne primjenjuje odluka koja se temelji isključivo na automatiziranoj obradi, uključujući profiliranje, ako ta odluka proizvodi pravne učinke ili je slično znatno pogađa.

Rok za odgovor i moguće produljenje

Na zahtjev odgovarate bez nepotrebne odgode, a najkasnije u roku od mjesec dana od zaprimanja zahtjeva.¹ Rok teče od dana kad je zahtjev stigao, a ne od dana kad ga je netko u tvrtki primijetio, pa je važno da zahtjevi ne ostaju neopaženi u zajedničkom sandučiću ili na recepciji.

Rok se može produljiti za dodatna dva mjeseca, dakle ukupno na tri mjeseca, kad je zahtjev složen ili kad ih je velik broj. U tom slučaju morate ispitanika obavijestiti o produljenju i razlozima unutar prvog mjeseca. Produljenje nije automatsko pravo. Mora postojati stvarna složenost, primjerice velik broj sustava ili potreba za usklađivanjem s izvršiteljima obrade. Ako uopće ne postupate po zahtjevu, ispitanika morate bez odgode, a najkasnije u mjesec dana, obavijestiti o razlozima i o pravu na pritužbu AZOP-u.

Kako postaviti proces za zahtjeve

Zahtjev može stići e-poštom, pismom ili usmeno, na bilo koji kanal tvrtke, i ne mora spominjati GDPR ni koristiti pravne pojmove da bi bio valjan. Zbog toga je jedini pouzdan pristup unaprijed pripremljen i uvježban postupak, a ne improvizacija nakon što zahtjev stigne. Bez procesa rok od mjesec dana prođe dok zahtjev putuje između odjela.

1. 01
   Zaprimite i evidentirajte

   Zabilježite zahtjev, kanal i točan datum zaprimanja, jer od tog datuma teče rok od mjesec dana. Odredite jasno tko je vlasnik zahtjeva.
2. 02
   Provjerite identitet podnositelja

   Razumnim sredstvima potvrdite da zahtjev dolazi od ispitanika ili ovlaštene osobe, kako podatke ne biste predali pogrešnoj osobi.
3. 03
   Utvrdite o kojem se pravu radi

   Razjasnite traži li osoba pristup, ispravak, brisanje ili nešto drugo, te na koje se podatke i razdoblje zahtjev odnosi.
4. 04
   Pronađite sve podatke

   Locirajte podatke o ispitaniku u svim sustavima, uključujući sigurnosne kopije i podatke kod izvršitelja obrade i vanjskih partnera.
5. 05
   Procijenite iznimke

   Provjerite postoje li zakonski razlozi za ograničenje ili odbijanje dijela zahtjeva i moraju li se zaštititi prava drugih osoba.
6. 06
   Odgovorite u roku

   Dostavite tražene informacije ili obrazloženo odbijanje uz uputu o pravu na pritužbu, unutar mjesec dana ili uz uredno produljenje.
7. 07
   Dokumentirajte postupanje

   Sačuvajte zapis o zahtjevu, provjeri identiteta i odgovoru, jer GDPR traži da usklađenost možete dokazati.

Po našem iskustvu, tvrtka koja unaprijed zna gdje su joj podaci zahtjev za pristup rješava u nekoliko radnih dana, dok tvrtke bez pregleda sustava troše veći dio mjeseca samo na pronalaženje podataka. Stvarni napor ovisi o broju sustava i urednosti evidencija.

Provjera identiteta podnositelja

Prije nego što postupite po zahtjevu, morate se uvjeriti da zahtjev stvarno dolazi od ispitanika ili osobe koju je on ovlastio. Provjera identiteta štiti od situacije u kojoj napadač lažnim zahtjevom za pristup pokuša doći do tuđih podataka, što je oblik socijalnog inženjeringa.

Provjera mora biti razumna i razmjerna, a ne prepreka koja obeshrabruje korištenje prava. Ako ispitanika već pouzdano poznajete kroz korisnički račun, dovoljna je prijava u taj račun. Kod nepoznatih podnositelja možete tražiti dodatne informacije koje već imate o toj osobi. GDPR izričito kaže da, ako opravdano sumnjate u identitet, smijete zatražiti dodatne podatke za potvrdu, no ne smijete prikupljati više podataka nego što je nužno samo radi provjere.

Kada zahtjev smijete odbiti ili naplatiti

Prava ispitanika nisu apsolutna. U određenim situacijama smijete zahtjev ograničiti, odbiti njegov dio ili iznimno naplatiti, ali svako takvo postupanje morate moći obrazložiti i dokazati.¹ Pravilo ostaje da je odgovor besplatan i da se zahtjev rješava.

• Odgovor je u pravilu besplatan; razumnu naknadu ili odbijanje smijete primijeniti samo kod očito neutemeljenih ili pretjeranih zahtjeva, primjerice kad se isti zahtjev ponavlja bez razloga.
• Zakonska obveza čuvanja podataka, primjerice računovodstvenih ili poreznih evidencija, može spriječiti brisanje dok rok čuvanja ne istekne.
• Prava i slobode drugih osoba mogu ograničiti pristup dijelu podataka, primjerice kad bi kopija otkrila podatke treće osobe.
• Pravo na brisanje ne primjenjuje se kad je obrada nužna za ostvarivanje prava na slobodu izražavanja, za pravne zahtjeve ili za ispunjenje zakonske obveze.
• Teret dokazivanja da je zahtjev očito neutemeljen ili pretjeran je na tvrtki, a ne na ispitaniku.

Zahtjev ispitanika nije administrativna smetnja, nego trenutak u kojem se vidi znate li uopće koje podatke imate i gdje su. Tko to ne zna, ne može odgovoriti u roku.

Uloga AZOP-a i pravo na pritužbu

Nadzor nad provedbom GDPR-a u Hrvatskoj provodi Agencija za zaštitu osobnih podataka.² Ispitanik koji ne dobije odgovor u roku, smatra da je zahtjev neopravdano odbijen ili da se njegovi podaci obrađuju protivno propisima, može podnijeti pritužbu AZOP-u. Pravo na pritužbu nadzornom tijelu izričito je zajamčeno GDPR-om i ne ovisi o tome je li ispitanik prvo kontaktirao vašu tvrtku.

Pritužba često pokreće nadzorni postupak u kojem AZOP traži objašnjenje i dokaze o tome kako ste postupili. Propusti u postupanju s pravima ispitanika spadaju u teže povrede koje nose više kazne. Uredan, uvježban i dokumentiran postupak je najbolja zaštita, jer tvrtka koja može pokazati da je zahtjev zaprimila, provjerila identitet i odgovorila u roku stoji na čvrstom tlu i u slučaju nadzora.

Prava ispitanika i mala tvrtka

Prava ispitanika ne ovise o veličini tvrtke. GDPR nema prag, pa i obrtnik i mala tvrtka moraju znati odgovoriti na zahtjev za pristup ili brisanje. Razlika je u opsegu, a ne u obvezi. Mala tvrtka s jednim CRM-om i nekoliko tablica podatke pronalazi brže od korporacije s desetcima sustava.

U praksi je za malu tvrtku ključno samo dvoje. Prvo, znati koje podatke ima i gdje se nalaze, kako bi ih u slučaju zahtjeva mogla pronaći. Drugo, imati određenu osobu koja prati dolazne zahtjeve i pokreće postupak. Bez te dvije stvari rok istekne ne zato što je zahtjev bio težak, nego zato što ga nitko nije primijetio na vrijeme.

Kako Raptoric pomaže

Kroz sigurnosni program i rizik uspostavljamo evidencije i postupke koji omogućuju da na zahtjev ispitanika odgovorite točno i u roku, jer iza svakog prava stoji sposobnost da pronađete i kontrolirate podatke u svim sustavima. Pomažemo postaviti proces zaprimanja, provjere identiteta, pretrage podataka i dokumentiranja, te ga uskladiti s mjerama sigurnosti. Dogovorite uvodni razgovor i proći ćemo vaše stanje konkretno.