Dreptul de acces la date: cum afli ce știe o firmă despre tine

Dreptul de acces este instrumentul prin care afli exact ce date are despre tine o firmă sau o instituție, de unde le are, la ce le folosește și cui le-a dat. Îl poți exercita printr-o simplă cerere scrisă, fără să explici de ce vrei informațiile, iar operatorul trebuie să răspundă, de regulă, în cel mult o lună și fără să îți ceară bani pentru prima copie.

În practică, dreptul de acces este adesea primul pas: înainte să ceri ștergerea datelor, să contești o decizie sau să reclami un abuz, ai nevoie să știi ce se află în dosarul tău. Mai jos găsești ce poți cere concret, cum formulezi cererea, cum citești răspunsul și ce faci când nu primești ce ți se cuvine. Informațiile sunt generale și nu țin loc de consultanță juridică; regulile se pot modifica, iar pentru situații complicate merită vorbit cu un avocat.

Ce îți dă concret dreptul de acces

Dreptul de acces are două componente: confirmarea că datele tale sunt sau nu sunt prelucrate și, dacă sunt, acces la ele plus un set de informații despre prelucrare. Este prevăzut în articolul 15 din GDPR și se aplică oricărui operator, privat sau public, care îți folosește datele.

Pe lângă copia datelor, operatorul trebuie să îți comunice:

• scopurile pentru care îți prelucrează datele;
• categoriile de date vizate (identificare, contact, financiare, de localizare, imagini etc.);
• destinatarii sau categoriile de destinatari cărora le-au fost ori le vor fi transmise, inclusiv cei din afara Uniunii Europene;
• perioada de stocare sau, dacă nu se poate stabili exact, criteriile după care se stabilește;
• drepturile tale: rectificare, ștergere, restricționare, opoziție;
• dreptul de a depune plângere la autoritatea de supraveghere;
• sursa datelor, dacă nu le-ai furnizat tu;
• existența unor decizii automate, inclusiv a profilării, cu informații despre logica folosită și consecințele pentru tine;
• garanțiile aplicate, dacă datele sunt transferate în afara Spațiului Economic European.

Nu primești doar o listă abstractă de categorii. Ai dreptul la o copie a datelor în sine: istoricul comenzilor, notițele din dosarul de client, înregistrările apelurilor în care apari, jurnalele de acces, în măsura în care te privesc.

Când merită să folosești dreptul de acces

Dreptul de acces este util ori de câte ori bănuiești că o organizație știe despre tine mai mult decât crezi sau folosește datele altfel decât ți-a spus. Câteva situații tipice:

Pentru apelurile comerciale nedorite, cererea de acces te ajută să afli sursa numărului tău, informație pe care o poți folosi apoi, așa cum explicăm în ghidul despre apelurile și mesajele de marketing nedorite.

Cum formulezi cererea pas cu pas

Cererea de acces nu are formă obligatorie, dar una bine scrisă îți scurtează mult drumul. Iată pașii care funcționează în majoritatea situațiilor:

1. Găsește canalul oficial. Caută în politica de confidențialitate a operatorului adresa responsabilului cu protecția datelor sau un formular dedicat cererilor GDPR. Dacă nu există, folosește adresa de e-mail de contact sau sediul social.
2. Identifică-te suficient: nume, adresa de e-mail sau numărul de telefon asociat contului, eventual un număr de client sau de contract. Nu trimite din oficiu copia actului de identitate.
3. Spune clar ce ceri: confirmarea prelucrării, copia tuturor datelor și informațiile de mai sus. Poți limita cererea la o anumită perioadă sau la un anumit serviciu, dacă te interesează doar o parte.
4. Precizează formatul: dacă trimiți cererea electronic, răspunsul se dă, în principiu, tot în format electronic uzual, cu excepția cazului în care ceri altfel.
5. Păstrează dovada: e-mailul trimis, confirmarea automată, numărul de înregistrare sau confirmarea de primire a scrisorii recomandate.

Un model scurt de cerere

Textul poate fi foarte simplu. De exemplu: „Subsemnatul/Subsemnata [nume], client cu adresa de e-mail [adresă], vă rog, în temeiul dreptului de acces prevăzut de Regulamentul (UE) 2016/679, să îmi confirmați dacă prelucrați date personale care mă privesc și, în caz afirmativ, să îmi transmiteți o copie a acestora, împreună cu scopurile prelucrării, destinatarii, perioada de stocare, sursa datelor și informații despre eventuale decizii automate. Vă rog să îmi transmiteți răspunsul în format electronic, la această adresă.”

Sfat: Dacă ai mai multe conturi la aceeași firmă (de exemplu un cont vechi cu altă adresă de e-mail), menționează-le pe toate în cerere. Altfel, operatorul poate căuta doar după identificatorul folosit în mesaj și îți poate răspunde, corect din punctul lui de vedere, că nu are alte date.

Verificarea identității: cât e normal să ți se ceară

Operatorul are dreptul să se asigure că dă datele persoanei corecte, dar nu are voie să transforme verificarea într-o barieră. Dacă cererea vine de pe adresa de e-mail asociată contului, de multe ori aceasta este o confirmare suficientă.

Când operatorul are îndoieli rezonabile, poate cere informații suplimentare, proporționale cu riscul. O bancă poate solicita mai mult decât un magazin de cărți, pentru că și datele pe care le deține sunt mai sensibile. O cerere de a trimite copia integrală a buletinului pentru a afla ce abonamente la newsletter ai este, de regulă, excesivă. Mai multe despre limitele acestei practici găsești în Copia buletinului: când ți-o poate cere cineva legal.

Atenție: Termenul de răspuns începe să curgă de la primirea cererii, dar în practică operatorii consideră că el se suspendă până clarifici identitatea. Răspunde rapid la o solicitare legitimă de verificare, ca să nu pierzi timp.

Termene, costuri și formatul răspunsului

Termenul general de răspuns este de o lună de la primirea cererii. El poate fi prelungit cu încă două luni când cererea e complexă sau operatorul a primit foarte multe cereri, dar ești anunțat despre prelungire și motivele ei în prima lună.

Răspunsul trebuie să fie concis, transparent, ușor de înțeles și formulat într-un limbaj clar. Un tabel de export cu coduri interne fără nicio explicație nu respectă această cerință.

Ce nu poate fi cerut prin dreptul de acces

Dreptul de acces privește datele tale, nu documentele interne în general. Nu poți obține prin el:

• datele altor persoane, de exemplu numele angajatului care a scris o notă, dacă dezvăluirea ar afecta drepturile lui;
• secrete comerciale sau know-how-ul operatorului, dincolo de informațiile despre logica unei decizii automate care te privește;
• informații despre care o lege specială stabilește că pot fi restrânse, de exemplu în anchete penale în curs.

Restricțiile nu justifică un refuz total. Operatorul trebuie, de regulă, să îți dea ce se poate da și să acopere doar ce trebuie protejat, de exemplu fețele altor persoane dintr-o înregistrare video.

Cazuri speciale: înregistrări video, apeluri, dosarul medical

Unele tipuri de date ridică probleme practice, dar intră tot sub dreptul de acces.

Imagini de pe camerele de supraveghere

Poți cere imaginile în care apari, însă trebuie să acționezi repede, pentru că ele se păstrează doar o perioadă limitată, după care se șterg automat. Precizează data, intervalul orar aproximativ și locul. Dacă în imagini apar și alte persoane, operatorul poate să le estompeze sau să îți permită doar vizionarea. Regulile generale despre sistemele video sunt în Camerele de supraveghere video: ce reguli trebuie respectate.

Înregistrările convorbirilor

Multe call center-uri înregistrează apelurile. Dacă o discuție telefonică este importantă într-o dispută, de exemplu promisiunea unui agent că nu vei plăti o penalitate la reziliere, cere înregistrarea prin dreptul de acces. Ea poate deveni o dovadă utilă, alături de celelalte documente descrise în ghidul despre dovezile pentru o reclamație.

Dosarul medical

Pentru datele medicale există și reguli din legislația sănătății privind accesul pacientului la propriul dosar. Dreptul de acces din GDPR se aplică în paralel, dar procedura concretă la spital sau la cabinet poate avea particularități. Cere detalii la unitatea medicală sau la responsabilul ei cu protecția datelor.

Ce faci cu răspunsul primit

Un răspuns complet îți oferă, de fapt, o hartă a relației tale cu operatorul, pe care o poți folosi mai departe. Citește-l atent și verifică dacă datele sunt corecte, dacă scopurile corespund celor anunțate și dacă perioadele de păstrare par rezonabile.

În funcție de ce găsești, următorii pași posibili sunt:

• rectificarea datelor greșite, de exemplu o adresă veche care duce la trimiterea facturilor în alt loc;
• ștergerea datelor care nu mai sunt necesare, în condițiile descrise în Dreptul la ștergere: când poți cere eliminarea datelor;
• opoziția la prelucrarea pentru marketing sau pe bază de interes legitim;
• retragerea consimțământului, dacă descoperi că ai bifat cândva acorduri de care nu mai știai;
• o reclamație comercială, dacă datele dezvăluie o practică problematică, de exemplu un serviciu adăugat în contul tău fără să-l fi cerut. Structura unei astfel de reclamații este explicată în Reclamația către comerciant: cum o scrii ca să fie eficientă.

Când răspunsul întârzie sau e incomplet

Dacă termenul a trecut fără răspuns, sau primești doar o parte din informații, ai mai multe opțiuni, în ordinea care de obicei funcționează cel mai bine.

1. Trimite o revenire scurtă, în care amintești data primei cereri și precizezi ce lipsește. Uneori cererea s-a pierdut în departamentul greșit.
2. Scrie direct responsabilului cu protecția datelor, dacă prima cerere a mers pe adresa generală.
3. Depune plângere la ANSPDCP, atașând cererea, dovada trimiterii și răspunsul primit sau lipsa lui. Pașii sunt descriși în Plângerea la ANSPDCP: când și cum o depui.
4. Discută cu un avocat dacă datele îți sunt necesare într-un litigiu, pentru că instanța poate dispune și ea comunicarea unor documente.

Contextul general al drepturilor din GDPR și legătura dintre ele sunt explicate în ghidul despre protecția datelor personale.

Pe scurt, despre dreptul de acces

Dreptul de acces te transformă din spectator în participant: afli ce date au alții despre tine și poți decide ce faci mai departe. O cerere scurtă, trimisă în scris pe canalul oficial, cu identificatorii potriviți, este de obicei suficientă, iar operatorul are obligația să răspundă complet și gratuit în termenul legal.

De reținut:

• poți cere confirmarea prelucrării, copia datelor și informațiile despre scop, destinatari, durată și sursă;
• nu trebuie să explici motivul cererii;
• termenul general este de o lună, prelungibil cu două luni, cu informare;
• prima copie este gratuită;
• datele altor persoane și secretele comerciale pot fi protejate, dar nu justifică un refuz total;
• pentru un răspuns lipsă sau incomplet ai la dispoziție plângerea la ANSPDCP.