Adatkérelmek kezelése

A legtöbb adatvédelmi jog szerint az érintettnek joga van hozzáférni a rá vonatkozó adatokhoz, kérheti az adatok törlését, ha már nincs rájuk szükség, és kérheti az adatai exportfájlját. Vannak más jogok is, de tapasztalat szerint ez a három a leggyakoribb kérés.

Adatkérelmi űrlap a Complianzben

A Complianz Premium adatkérelmi űrlapot tehet az adatkezelési tájékoztatóba, így az érintettek egységesen nyújthatják be a kéréseiket. Az űrlap a tájékoztatóban a kapcsolati adataid alatt jelenik meg: megkérdezi az érintett nevét és e-mail-címét, és lehetővé teszi, hogy egy vagy több kérést jelöljön meg.

Bekapcsolás: a Complianz → Wizard oldalon a Do you want to enable Data Request Forms? kérdésre válaszolj igennel.

Az űrlap bekapcsolása egy további menüpontot is létrehoz az irányítópulton, ahol a beérkezett kéréseket kezeled és megválaszolod. Így van folyamatod arra, hogy a hozzáférési kérelmekre indokolatlan késedelem nélkül válaszolj.

https://minta-bolt.hu/wp-admin/admin.php?page=complianz

A képen a Data Requests lista (E-mail-cím, Állapot, Régió, Dátum, Adatkérelem oszlop, szűrő és keresőmező) és alatta a Settings blokk látszik az exportálási és törlési gombokkal. A lista kérés nélkül a Nincs bejegyzés üzenetet mutatja. Az oldal beállításairól az Eszközök fejezet szól.

Értesítések az adatkérelmekről

Ha egy látogató beküld egy adatkérelmet, a rendszer értesítő e-mailt küld a Beállítások → Általános oldalon megadott Adminisztrátor e-mail-cím címre.

Az e-mail szövegének és kinézetének testreszabását a Adatkérelmi űrlap és értesítő e-mail testreszabása fejezet írja le.

Az értesítések címzettjének módosítása

Ha nem a webhely adminisztrátora foglalkozik az adatkérelmekkel, az értesítéseket másik e-mail-címre is irányíthatod. Ehhez egy kódrészlet kell, amelyet MU-pluginként (must-use bővítményként) érdemes használni:

1. Készíts egy új .php fájlt a kódrészlettel, amely az adatkérelmi értesítések címzettjét átállítja.
2. A fájl 4. sorában cseréld le az e-mail-címet arra, amelyre az értesítések menjenek.
3. Mentsd el a fájlt.
4. Töltsd fel a /wp-content/mu-plugins/ mappába, hogy érvényesüljön. Ha a mappa nincs meg, hozd létre.

Az értesítő e-mailek feladójának címét az adatkérelmi oldal Notification sender email address mezőjében állíthatod.

A leggyakoribb adatkérelmek röviden

A legtöbb joghatóságban egy hónapon belül kell válaszolnod. Ha a kérés összetett, vagy az érintettől több kérés is érkezik, a határidőt további két hónappal meghosszabbíthatod.

Hozzáférési jog

Az érintettnek joga van megkapni a személyes adatai másolatát és a kapcsolódó kiegészítő információkat (ez az úgynevezett DSAR). A kérést szóban vagy írásban is megteheti, akár közösségi médián keresztül is, és harmadik fél is benyújthatja a nevében.

A kezelése:

• Végezz észszerű keresést a kért információ után.
• Adj hozzáférhető, tömör és érthető formában információt.
• Az információt biztonságosan add át.
• Csak akkor tagadhatod meg, ha kivétel vagy korlátozás vonatkozik rá, vagy a kérés nyilvánvalóan megalapozatlan vagy túlzó.

Törléshez való jog

A legtöbb adatvédelmi törvény szerint az érintett kérheti az adatai törlését, ha:

• az adatokra már nincs szükség a gyűjtésük vagy kezelésük eredeti céljához;
• a jogalapod a hozzájárulás, és az érintett visszavonja;
• a jogalapod jogos érdek, az érintett tiltakozik, és nincs felülíró jogos érdek;
• az adatokat közvetlen üzletszerzésre használod, és az érintett tiltakozik;
• az adatokat jogellenesen kezelted;
• jogi kötelezettség miatt törölnöd kell;
• az adatokat gyermeknek kínált információs társadalmi szolgáltatáshoz kezelted.

Megtagadhatod, ha kivétel vagy korlátozás érvényes, vagy a kérés nyilvánvalóan megalapozatlan vagy túlzó.

Adathordozhatósághoz való jog

Az érintett megkaphatja és saját céljaira felhasználhatja a személyes adatait különböző szolgáltatásokban. Ezek az adatok egyszerűen mozgathatók, másolhatók vagy átvihetők egyik informatikai környezetből a másikba, biztonságosan és a használhatóság elvesztése nélkül. A jog csak az érintett által az adatkezelőnek megadott adatokra vonatkozik. Megtagadhatod, ha kivétel vagy korlátozás érvényes, vagy a kérés nyilvánvalóan megalapozatlan vagy túlzó.

Hogyan válaszolj egy hozzáférési kérelemre (SAR)

Mi a hozzáférési jog

A hozzáférési jog (angolul subject access) azt jelenti, hogy az érintett másolatot kérhet a személyes adatairól és kiegészítő információt kaphat. Ebből megértheti, hogyan és miért használod az adatait, és ellenőrizheti, hogy törvényesen teszed-e.

Hogyan ismerd fel a kérést

A kérés szóban vagy írásban, közösségi médián is jöhet. Akkor érvényes, ha világos, hogy az érintett a saját személyes adatait kéri. Bár a Complianz adatkérelmi űrlapot kínál, az érintettnek nem kell meghatározott szavakat használnia, jogszabályra hivatkoznia vagy külön címre küldenie.

Az érintett megkérhet harmadik felet (például rokont, barátot vagy ügyvédet) is. Ilyen kérés jöhet az adatkérelmi űrlapon is. Válasz előtt győződj meg arról, hogy a harmadik fél jogosult eljárni az érintett nevében. A meghatalmazás igazolása az ő felelőssége.

Gyermekekre vonatkozó kérések

Mielőtt egy gyermekről tárolt információra vonatkozó kérésre válaszolsz, mérlegeld, hogy a gyermek elég érett-e a jogai megértéséhez. Ha a kérés a gyermektől jön, és biztos vagy benne, hogy érti a jogait, általában közvetlenül neki válaszolj. A szülő vagy gondviselő is gyakorolhatja a gyermek jogait, ha a gyermek felhatalmazza rá, vagy nyilvánvalóan a gyermek érdeke. Elég érett gyermek más személyt is felhatalmazhat, nem csak a szülőt vagy gondviselőt.

Mire figyelj a válaszadáskor

• A kérésre indokolatlan késedelem nélkül, a legtöbb joghatóságban legkésőbb egy hónapon belül válaszolj.
• Ha a kérés összetett, vagy az érintettől több kérés is érkezett (például más jogokra vonatkozóan), a határidőt további két hónappal meghosszabbíthatod.
• Ha az érintettről sok adatot kezelsz, kérheted, hogy pontosítsa, milyen információra vagy adatkezelési tevékenységre vonatkozik a kérés, ha ez nem világos. A válaszadási határidő a pontosításig szünetel, de a kiegészítő információkat, amelyeket tudsz, egy hónapon belül add meg.

Kérhetsz-e igazolványt

Igen, ha szükséges. Meg kell győződnöd a kérelmező (vagy akinek a nevében a kérés érkezett) személyazonosságáról. Ha bizonytalan vagy, kérhetsz információt a személyazonosság ellenőrzéséhez. A válaszadási határidő addig nem kezdődik el, amíg a kért információt meg nem kapod, ezért az igazolást mielőbb kérd.

Kérhetsz-e díjat

Általában nem. A legtöbb esetben nem számíthatsz fel díjat a kérés teljesítéséért. Észszerű díjat kérhetsz az adminisztratív költségekre, ha a kérés nyilvánvalóan megalapozatlan vagy túlzó, vagy ha az érintett az adatai további példányát kéri.

Hogyan keresd meg a kért információt

Tegyél észszerű erőfeszítést a kért információ megkeresésére. Nem kell olyan keresést végezned, amely észszerűtlen vagy az információ hozzáférhetővé tételének jelentőségéhez képest aránytalan.

Hogyan add át az információt

Az érintett jogosult a személyes adatai másolatára és kiegészítő információkra (ezek nagyrészt megegyeznek azzal, amit az adatkezelési tájékoztatóban is közölnöd kell). Ha a kérést elektronikusan tette, az információt általánosan használt elektronikus formátumban add meg, hacsak az érintett mást nem kér.

A formátum kiválasztásánál vedd figyelembe a kérés körülményeit és azt, hogy az érintett hozzáfér-e az adott formátumhoz. Jó gyakorlat, ha a teljesítés előtt megkérdezed az érintett kedvelt formátumát. Alternatíva az is, hogy az érintett távolról hozzáfér az adataihoz és letölt egy másolatot megfelelő formátumban.

Ha az érintett kéri, szóban is válaszolhatsz, feltéve, hogy a személyazonosságot más módon megerősítetted. Tartsd nyilván a kérés dátumát, a válasz dátumát, azt, hogy ki adta az információt, és hogy mit adtál meg. Az adatkezelőként te felelsz azért, hogy az információ biztonságát minden észszerű lépéssel biztosítsd.

Mikor tagadhatod meg

Ha kivétel érvényes, megtagadhatod az információ egészének vagy egy részének átadását, az esettől függően. Megtagadhatod akkor is, ha a kérés nyilvánvalóan megalapozatlan vagy nyilvánvalóan túlzó. Ha megtagadod, tájékoztatnod kell az érintettet:

• az indokokról;
• arról, hogy panaszt tehet a felügyeleti adatvédelmi hatóságnál;
• arról, hogy a jogát bíróságon is érvényesítheti.

Ha a kérés más személyek adatait is érinti

Ha lehet, mérlegeld, teljesíthető-e a kérés más személyt azonosító információ nélkül. Ha nem, nem kell teljesítened, kivéve ha a másik személy hozzájárul a közléshez, vagy észszerű a hozzájárulása nélkül is teljesíteni. Az érintettnek válaszolnod kell attól függetlenül, hogy a harmadik fél adatait közlöd-e. Indokolni kell a döntést, ezért jegyezd fel, mit döntöttél és miért.

Egyéb kivételek

A kivételek csak nagyon kevés, esetenkénti helyzetben érvényesek. A GDPR 14. cikkének (5) bekezdése a következőket említi:

• az érintett már rendelkezik az információval;
• az információ nyújtása lehetetlennek bizonyul, vagy aránytalan erőfeszítést igényelne, különösen közérdekű archiválási, tudományos vagy történelmi kutatási vagy statisztikai célú kezelésnél. Ilyenkor az adatkezelőnek megfelelő intézkedéseket kell tennie az érintett jogainak és jogos érdekeinek védelmére, többek között az információ nyilvánosságra hozatalával;
• az adat megszerzését vagy közlését uniós vagy tagállami jog kifejezetten előírja, és megfelelő intézkedéseket ír elő az érintett jogos érdekeinek védelmére;
• a személyes adatnak titkosnak kell maradnia uniós vagy tagállami jog szerinti szakmai titoktartási kötelezettség miatt, a törvényi titoktartási kötelezettséget is beleértve.

A kivételek alkalmazása előtt érdemes jogászt kérdezned.