Prawo dostępu do danych i kopii danych: art. 15 RODO

Jakie informacje przysługują osobie

Administrator powinien poinformować o przetwarzaniu, jego celach, kategoriach danych i odbiorcach oraz innych elementach określonych w art. 15. Prawo do kopii dotyczy danych osobowych podlegających przetwarzaniu. Nie należy automatycznie utożsamiać go z prawem do pełnej dokumentacji firmowej, źródłowego kodu programu czy tajemnic osób trzecich.

Identyfikacja i zakres żądania

Przy wątpliwościach co do tożsamości wnioskodawcy administrator może podejmować odpowiednie działania identyfikacyjne w granicach RODO. Nie wolno jednak bez potrzeby zbierać nowych, nadmiarowych danych. Wniosek może dotyczyć określonego procesu lub wszystkich danych przetwarzanych przez danego administratora; odpowiedź powinna pozostawać zrozumiała.

Termin odpowiedzi i jej forma

Art. 12 ustanawia zasadniczy termin odpowiedzi i szczególne reguły jego przedłużenia przy spełnieniu warunków ustawowych. Żądanie elektroniczne należy odpowiednio obsłużyć, z uwzględnieniem bezpiecznego sposobu przekazania kopii. Nadmierna objętość plików nie zwalnia z obowiązku rzetelnego rozpatrzenia uprawnienia.

Prawa innych osób i tajemnice

Wydając dane należy brać pod uwagę prawa i wolności innych osób, np. ujawniających się w korespondencji czy dokumentach kadrowych. Nie oznacza to jednak automatycznej odmowy całego wniosku. Administrator powinien ocenić możliwość odpowiedniego ograniczenia lub anonimizacji fragmentów bez pozbawienia zainteresowanego dostępu do jego danych.

Jak sprawdzić kompletność odpowiedzi

Warto porównać wniosek z wykazem systemów, danych archiwalnych oraz informacjami przekazanymi przez procesorów. Samo udostępnienie podstawowych danych profilowych z systemu CRM nie musi wyczerpywać zakresu przetwarzania. Organizacja powinna dokumentować czynności podjęte w celu odnalezienia danych.

Przygotowanie stanowiska prawnego

Odpowiedź administratora powinna umożliwiać realne zrozumienie przetwarzania danych, ale zakres przekazywanej kopii trzeba pogodzić z prawami innych osób. Nie każda informacja znajdująca się w wewnętrznym dokumencie przedsiębiorcy podlega udostępnieniu w całości. Podstawą jest identyfikacja danych konkretnego wnioskodawcy.