Права субъекта данных — полный каталог
Третья глава закона «О защите персональных данных» даёт субъекту восемь прав, каждое из которых отвечает конкретной практической потребности: как узнать об обработке, как получить копию своих данных, как исправить ошибку, как остановить обработку, как заблокировать спорные данные, как перенести их в другой сервис, как защититься от автоматических решений и как отозвать согласие. Знание этого каталога необходимо и субъекту — он получает инструменты, — и организации, которой достаётся перечень обязанностей.
Информация и доступ
По статье 13 субъект вправе потребовать от ответственного лица подтвердить, обрабатываются ли его данные, и безвозмездно получить сведения о данных, основании и цели обработки, источнике, сроке хранения, правах, передачах и автоматизированных решениях. Статья 14 регулирует доступ и копии: субъект безвозмездно получает копии данных — кроме случаев платы, установленной законодательством, либо разумной платы за иной формат. Оба запроса исполняются не позднее 10 рабочих дней, в исключительных случаях срок продлевается на 10 рабочих дней с немедленным уведомлением.
Исправление и прекращение обработки
По статье 15 субъект вправе требовать исправления, обновления или дополнения неточных или неполных данных — в течение 10 рабочих дней с запроса; при отказе сообщается основание с разъяснением порядка обжалования. Если ошибку само обнаружило ответственное лицо, оно исправляет её в разумный срок и уведомляет в течение 10 рабочих дней, информируя и получателей данных. По статье 16 субъект вправе требовать прекращения обработки — включая профилирование, — удаления или уничтожения данных; отказ возможен лишь по основаниям, перечисленным законом — например иное основание обработки, правовое требование, свобода выражения, архивирование-исследование-статистика, — и ответственное лицо его обосновывает. По общедоступным данным субъект дополнительно вправе требовать ограничения доступности или удаления интернет-ссылок.
Статья 17 называет пять случаев блокировки: субъект оспаривает точность данных; обработка неправомерна, но субъект требует блокировки, а не удаления; данные больше не нужны для цели, но нужны для жалобы; рассматривается требование о прекращении; либо данные нужно сохранить как доказательство. Информация о решении по блокировке сообщается не позднее 3 рабочих дней с запроса; заблокированные данные обрабатываются только хранением, кроме случаев с согласия субъекта, для правового требования, защиты интересов или установленных законом публичных интересов.
Как организация строит работу с этими правами
Знания каталога мало — организация должна выстроить процедуру под каждое право. Первый шаг — определение канала приёма: где и как субъект подаёт запрос и кто отвечает внутри. Второй — управление сроками: у каждого права базовый срок 10 рабочих дней с возможностью продления на 10 рабочих дней в исключительных случаях, а информация о блокировке выдаётся в более короткий — 3 рабочих дня — срок. Третий — форма ответа: информация предоставляется в той же форме, в какой сделан запрос, если субъект не требует иного. Четвёртый — обоснование отказов: каждый отказ требует письменного основания, и бремя доказывания лежит на ответственном лице. Организации, строящие эти процессы заранее, потом избегают споров и штрафов.
Переносимость, автоматические решения и отзыв согласия
Статья 18 регулирует переносимость: при автоматизированной обработке на основании согласия или договора субъект получает предоставленные им данные в структурированном, общеприменимом и машиночитаемом формате либо требует их передачи другому ответственному лицу, если это технически возможно. Статья 19 касается автоматизированных решений: субъект не может подвергаться решению, основанному исключительно на автоматизированной обработке — включая профилирование, — со значимыми последствиями, кроме явного согласия, договора или закона; по запросу обеспечиваются участие человека, высказывание мнения и обжалование. Статья 20 — право отзыва согласия: в любое время, без объяснений; обработка прекращается либо данные удаляются не позднее 10 рабочих дней, если иное основание отсутствует. Нарушение этих прав влечёт и административные штрафы — им посвящена отдельная страница.
Часто задаваемые вопросы
Ниже мы отвечаем на вопросы о правах на конфиденциальность, которые задают чаще всего.
В какой срок ответственное лицо отвечает на запрос?
Базовый срок — 10 рабочих дней; в исключительных случаях он продлевается ещё на 10 рабочих дней с немедленным уведомлением, а информация о блокировке выдаётся в более короткий — 3 рабочих дня — срок.
Выдаются ли копии данных безвозмездно?
Да — кроме платы, установленной законодательством, либо разумной платы за иной формат; плата не должна превышать фактически затраченный ресурс, и бремя обоснования её разумности лежит на ответственном лице.
Может ли решение обо мне приниматься чисто автоматически?
Нет — решение со значимыми последствиями не может основываться исключительно на автоматизированной обработке, включая профилирование, кроме явного согласия, договора или случая, предусмотренного законом; по запросу обеспечиваются участие человека, высказывание мнения и возможность обжалования.
Как воспользоваться правом переносимости?
При автоматизированной обработке на основании согласия или договора вы получаете предоставленные вами данные в структурированном, общеприменимом и машиночитаемом формате либо требуете их передачи другому ответственному лицу, если это технически возможно.
Как мы помогаем на Legal.ge
Команда Legal.ge поможет как в осуществлении прав субъекта данных — составлении запросов, контроле сроков и обжаловании отказов, — так и организациям в превращении этих прав в готовые ответы: канал приёма, управление сроками и процедура обоснования отказов.
Если запрос о ваших персональных данных остался неудовлетворённым или вы хотите правильно выстроить процессы конфиденциальности в своей компании, напишите нам на Legal.ge — оценим ситуацию и построим верный алгоритм.