Prawo dostępu do danych i kopii danych: art. 15 RODO

Jakie informacje przysługują osobie

Administrator powinien poinformować o przetwarzaniu, jego celach, kategoriach danych i odbiorcach oraz innych elementach określonych w art. 15. Prawo do kopii dotyczy danych osobowych podlegających przetwarzaniu. Nie należy automatycznie utożsamiać go z prawem do pełnej dokumentacji firmowej, źródłowego kodu programu czy tajemnic osób trzecich.

Identyfikacja i zakres żądania

Przy wątpliwościach co do tożsamości wnioskodawcy administrator może podejmować odpowiednie działania identyfikacyjne w granicach RODO. Nie wolno jednak bez potrzeby zbierać nowych, nadmiarowych danych. Wniosek może dotyczyć określonego procesu lub wszystkich danych przetwarzanych przez danego administratora; odpowiedź powinna pozostawać zrozumiała.

Termin odpowiedzi i jej forma

Art. 12 ustanawia zasadniczy termin odpowiedzi i szczególne reguły jego przedłużenia przy spełnieniu warunków ustawowych. Żądanie elektroniczne należy odpowiednio obsłużyć, z uwzględnieniem bezpiecznego sposobu przekazania kopii. Nadmierna objętość plików nie zwalnia z obowiązku rzetelnego rozpatrzenia uprawnienia.

Prawa innych osób i tajemnice

Wydając dane należy brać pod uwagę prawa i wolności innych osób, np. ujawniających się w korespondencji czy dokumentach kadrowych. Nie oznacza to jednak automatycznej odmowy całego wniosku. Administrator powinien ocenić możliwość odpowiedniego ograniczenia lub anonimizacji fragmentów bez pozbawienia zainteresowanego dostępu do jego danych.

Jak sprawdzić kompletność odpowiedzi

Warto porównać wniosek z wykazem systemów, danych archiwalnych oraz informacjami przekazanymi przez procesorów. Samo udostępnienie podstawowych danych profilowych z systemu CRM nie musi wyczerpywać zakresu przetwarzania. Organizacja powinna dokumentować czynności podjęte w celu odnalezienia danych.

Przygotowanie stanowiska prawnego

Odpowiedź administratora powinna umożliwiać realne zrozumienie przetwarzania danych, ale zakres przekazywanej kopii trzeba pogodzić z prawami innych osób. Nie każda informacja znajdująca się w wewnętrznym dokumencie przedsiębiorcy podlega udostępnieniu w całości. Podstawą jest identyfikacja danych konkretnego wnioskodawcy.

Prawo do kopii danych nie jest bezwarunkowym prawem do dokumentu

Art. 15 RODO zapewnia osobie informacje o przetwarzaniu oraz kopię jej danych osobowych, ale nie upoważnia automatycznie do uzyskania wszystkich dokumentów organizacji. Zakres udostępnienia trzeba ocenić z uwzględnieniem treści danych, nie samej nazwy nośnika. Niekiedy wierne zrozumienie danych może wymagać udostępnienia szerszego kontekstu niż pojedynczy wiersz.

Terminy, tożsamość i prawa osób trzecich

Administrator powinien ocenić wniosek według art. 12 RODO, zweryfikować tożsamość w zakresie adekwatnym do ryzyka i poinformować o właściwej podstawie ewentualnych ograniczeń. Prawo do kopii nie może naruszać praw i wolności innych osób; nie daje to jednak blankietowej podstawy do odmowy. Warto oddzielić anonimizację cudzych danych od pominięcia informacji dotyczących samego wnioskodawcy.