Осуществление прав субъектов данных, наряду с обязанностью предоставлять информацию, является одной из основных обязанностей контролера данных. Перечень прав, содержащийся в статьях 15-22 GDPR, включает право на доступ, исправление, удаление, ограничение обработки, передачу, возражение, а также право не подвергаться решениям, основанным исключительно на автоматизированной обработке (профилировании), или право подать жалобу в надзорный орган. Однако, прежде чем физическое лицо воспользуется своими правами, контролер должен быть надлежащим образом проинформирован о них, например, посредством информационного пункта, таким образом, чтобы контролер мог впоследствии продемонстрировать соблюдение этой обязанности (принцип подотчетности).
Практические проблемы, которые могут возникнуть, связаны с проверкой личности лица, запрашивающего, например, доступ к данным, хранящимся у контролера данных. При ответе на такой запрос необходимо будет проверить собираемые данные, а затем — в целях проверки — запросить, например, адрес проживания или номер телефона. Контролеры данных обычно имеют отлаженные процедуры (например, список вопросов, проверка адреса электронной почты, с которого поступил запрос), позволяющие исключить риски и обеспечить надлежащую проверку.
Пример: Человек связался с оператором персональных данных и запросил информацию о продолжительности своего посещения тренажерного зала в рамках приобретенного пакета, свои контактные данные и другую информацию, хранящуюся у оператора. В электронном письме человек указал только номер карты, полученный при регистрации. В этой ситуации необходима надлежащая проверка заявителя, чтобы предотвратить передачу персональных данных неавторизованному лицу.
Ответы на поданные запросы обычно предоставляются в том же формате, в котором был получен запрос. Если субъект данных отправил свой запрос в электронном виде, информация также передается в электронном виде, насколько это возможно, если только субъект данных не запросит другой формат, например, письменный или устный. Хотя электронная и письменная формы не должны создавать существенных проблем, устный ответ не всегда может быть лучшим решением. Это требует подтверждения личности человека во время разговора и последующего подтверждения ответа (принцип подотчетности).
Срок ответа составляет один месяц и может быть продлен еще на два месяца при условии уведомления субъекта данных об этом, а также с указанием причины задержки. Выполнение запросов, таких как право на удаление данных (право быть забытым), может представлять собой трудности, в том числе организационные и технические, особенно когда данные собираются в нескольких местах (аутсорсинг услуг архивирования, обработка данных на электронных и бумажных носителях или несколько обрабатывающих организаций).
На практике контролер может столкнуться со многими неопределенностями относительно того, следует ли и какие именно запросы следует выполнять. Если невозможно точно определить запрос субъекта данных, контролер должен помочь ему в его надлежащем уточнении. Кроме того, право на удаление не всегда оправдано, особенно когда продолжение обработки оправдано текущими договорными отношениями, интересами контролера или установлением, осуществлением или защитой юридических претензий.
При оценке вышеуказанных аспектов контролер должен учитывать, что субъекты данных имеют право подать жалобу в надзорный орган (Президенту Управления по защите персональных данных), который может инициировать процедуру проверки, обязать контролера предоставить дополнительную информацию и разъяснения и, следовательно, наложить штраф за выявленные нарушения.
Правовой статус по состоянию на 27 октября 2021 года.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
