Общият регламент за защита на личните данни (GDPR) дава на физическите лица широк набор от права, свързани с обработването на техните лични данни. Познаването на тези права е ключово, за да може всеки да защити личната си сфера и да реагира при нарушения.
По-долу ще откриете основните понятия и права на субектите на данни, както и каква защита може да бъде потърсена.
1. Какво представлява понятието „субект на данни“?
„Субект на данни“ е всяко физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко въз основа на определена информация – например име, ЕГН, номер на документ за самоличност, данни за местонахождение, онлайн идентификатор или други характеристики, свързани с неговата идентичност.
2. Какви права има субектът на данни по GDPR?
Съгласно Общия регламент за защита на данните, всяко физическо лице има следните основни права:
- Право на информираност – да знае кой обработва данните му, на какво основание и с каква цел.
- Право на достъп – да получи копие от своите лични данни и информация за тяхното обработване.
- Право на коригиране – да поиска корекция на неточни или непълни лични данни.
- Право на изтриване („право да бъдеш забравен“) – при определени условия да изиска заличаване на данните.
- Право на ограничаване на обработването – временно „замразяване“ на обработването при конкретни основания.
- Право на преносимост на данните – да получи данните си в структуриран, машинно четим формат и да ги прехвърли към друг администратор.
- Право на възражение – срещу обработването на негови лични данни, включително за целите на директния маркетинг.
- Право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включително профилиране, когато то поражда правни последици или го засяга в значителна степен.
- Право на защита по административен и съдебен ред, когато правата по Регламента са нарушени.
3. Каква информация трябва да получи субектът на данни при предоставяне на личните си данни?
Администраторът на лични данни е длъжен да предостави на лицето ясна и достъпна информация, включително:
- идентификация и данни за контакт на администратора;
- данни за контакт с длъжностното лице по защита на данните (ако има такова);
- целите на обработването и правното основание;
- получателите или категориите получатели на личните данни (ако има такива);
- намерение за предаване на данни към трети държави или международни организации (когато е приложимо);
- срок на съхранение на личните данни или критерии за неговото определяне;
- информация за автоматизирано вземане на решения и профилиране (ако се прилагат);
- изброяване на правата на субекта на данни;
- правото на жалба до надзорния орган.
Тази информация не се предоставя повторно, ако субектът на данни вече разполага с нея.
4. В кои случаи субектът на данни може да поиска изтриване на своите лични данни?
Правото на изтриване може да бъде упражнено, когато е налице някое от следните условия:
- данните вече не са необходими за целите, за които са били събрани или обработвани;
- субектът на данни оттегля съгласието си и няма друго правно основание за обработването;
- субектът е възразил срещу обработването и няма законни основания с преимущество пред неговите интереси;
- данните са обработвани незаконосъобразно;
- изтриването е необходимо за спазването на правно задължение по правото на ЕС или на държава членка;
- данните са събрани във връзка с предлагане на услуги на информационното общество на деца, при което съгласието е дадено от носещия родителска отговорност.
5. Може ли субектът на данни да поиска ограничаване на обработването?Да. Ограничаването на обработването е възможно в следните случаи:
оспорена точност на данните – за срок, в който администраторът проверява точността им;
- неправомерно обработване, при което субектът не желае изтриване, а само ограничаване;
- администраторът вече няма нужда от данните за целите на обработването, но субектът ги изисква за установяване, упражняване или защита на правни претенции;
- подадено е възражение срещу обработването, като ограничението важи до приключване на проверката дали законните основания на администратора имат преимущество.
6. Какво представлява „правото на преносимост“?
Правото на преносимост е едно от новите и съществени права по GDPR. Субектът на данни има право:
- да получи личните си данни в структуриран, широко използван и машинно четим формат;
- да прехвърли тези данни към друг администратор без препятствия от първоначалния администратор, когато обработването се основава на съгласие или договор и се извършва по автоматизиран начин;
- да поиска, когато е технически възможно, данните да бъдат прехвърлени директно от един администратор към друг.
7. Може ли субектът на данни да възрази срещу обработването на личните му данни?
Да. Физическите лица могат да възразят пред администратора срещу обработването на личните им данни. В такъв случай администраторът трябва да прекрати обработването, освен ако докаже, че:
- съществуват убедителни законови основания за обработването, които имат предимство пред интересите и правата на лицето, или
- обработването е необходимо за установяване, упражняване или защита на правни претенции.
При възражение срещу обработване за директен маркетинг, обработването се прекратява незабавно.
8. Каква защита имат децата като субекти на данни?
Децата се ползват със специална, по-висока защита, тъй като не познават достатъчно добре рисковете и своите права. Това важи особено при:
- използване на лични данни за маркетингови цели;
- създаване на потребителски или личностни профили;
- събиране на лични данни при използване на онлайн услуги, предоставяни пряко на деца.
При услуги на информационното общество обработването на данни на дете е законосъобразно, ако:
- детето е навършило 16 години, или
- при по-малка възраст – ако съгласието е дадено или одобрено от носещия родителска отговорност, съгласно приложимото национално право.
9. Могат ли физическите лица да търсят защита по административен ред?
Да. Лицата, които считат, че правата им по GDPR са нарушени, могат да подадат жалба до надзорния орган:
- в държавата членка на обичайното им местопребиваване;
- по място на работа;
- или по място на предполагаемото нарушение.
В България надзорният орган е Комисията за защита на личните данни.
10. Имат ли право на защита по съдебен ред?
Да. Физическите лица имат право на ефективна съдебна защита срещу:
- администратор или обработващ лични данни – пред съдилищата на държавата членка, където е мястото на установяване на администратора/обработващия, или по избор – по обичайно местопребиваване на субекта на данни (с изключение на публични органи, действащи в изпълнение на публични правомощия);
- задължителни решения на надзорния орган – пред съдилищата в държавата членка, където е установен този орган.
11. Имат ли право на обезщетение за вреди?
Да. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на Регламента, има право на обезщетение от администратора или обработващия лични данни.
Съдебните производства за такива искове се образуват пред компетентните съдилища съгласно националното право на съответната държава членка.
Нуждаете се от съдействие?
Ако смятате, че ваши права по Регламент (ЕС) 2016/679 или Закона за защита на личните данни са нарушени – например неправомерна обработка, отказ от достъп, неизтриване на данни, агресивен директен маркетинг или изтичане на информация – можете да потърсите съдействие за:
- изготвяне и подаване на жалба до надзорния орган;
- водене на производство срещу администратор или обработващ лични данни;
- предявяване на иск за обезщетение за претърпени вреди.
