Kas turėtų būti paskelbtame dokumente?

Mes stovime priešais GDPR atskleidimai vidutiniškai 3-4 kartus per dieną.

Jei esate navigacijos režimu, dar daugiau. Ta begalinė „rašytinių dalykų“ netvarka privalo informuoti vartotoją prieš tai, kai svetainė pradeda rinkti jo asmens duomenis. Ši informacija gali būti pateikta žodžiu arba raštu, tačiau ji visada turi atitikti BDAR nuostatas.

Tai, kaip įvairios įmonės žiūri į šią informaciją, daug pasako apie jas, apie jas gebėjimas susieti su Europos reglamentu ir jų gebėjimas bei noras investuoti laiką ir išteklius šiuo klausimu. Italijoje GDPR dar nėra taikomas visose svetainėse, kurios turėtų būti taikomos palyginti neseniai. Taigi mes turime erdves, kuriose jų visiškai nėra. Tada atsiranda kitų žiniatinklio valdytojų, kurie panikavo ir, norėdami turėti duomenų reglamentus, nusprendė išmesti tris ar keturis kažkur nuplagijuotus žodžius ir sukurti vartotojui mini patvirtinimo langą. Dvi ar trys eilutės, nes „šiaip svetainė maža, niekas joje nelanko, man nereikia ten valandų valandas leisti ir pinigų pas advokatą“. Ir tada yra herojai be pelerinų, tie, kurie kopijuoja didelių kompanijų taisykles ir perduoda juos kaip juos.

Visi trys šie požiūriai savaip yra klaidingi. Kokia turi būti informacija apie asmens duomenų tvarkymą?

Kas yra BDAR paskelbtame dokumente?

Europos reglamento 13/14 16 ir 679 straipsniai maksimaliai tiksliai numato visą turinį, kuris privalomai turi būti įtrauktas į jūsų asmens duomenų atskleidimą. Tarp šios informacijos minime:

  • suinteresuotoji šalis. Fizinis asmuo, turintis asmens duomenis, kuris ruošiasi spustelėti jūsų svetainę ir susiduria su jūsų BDAR.
  • Kas atlieka gydymą. Subjektas, tvarkantis fizinio asmens duomenis, duomenų valdytojas arba esamas jo atstovas.
  • DAP adresas. DAP (duomenų apsaugos pareigūnas) yra asmuo, atsakingas už asmens duomenų apsaugą – tai naujas skaičius, įtrauktas į BDAR. Tai techninis ir teisinis konsultantas, kurio užduotis yra apmokyti savininką, vadovą ir darbuotojus, siekiant užtikrinti, kad jie laikytųsi teisės aktų taisyklių. DAP yra privalomas ne visiems, o tik tiems, kurių pagrindinė veikla yra reguliarus ir sistemingas duomenų subjektų stebėjimas dideliu mastu. Pavyzdžiui, bankai, draudimo bendrovės, kavinės, ligoninės...
  • Kokie gydymo būdai atliekami ir kodėl.
  • Koks yra gydymo teisinis pagrindas. Norite tvarkyti suinteresuotos šalies duomenis. Kokiu teisiniu pagrindu galite tai padaryti? Pagal BDAR, kiekviena organizacija turi nustatyti duomenų rinkimo pagrindą – tai esminis žingsnis duomenų subjektui. Iš tiesų, žmonių teisės priklauso nuo pasirinkto teisinio pagrindo tvarkyti jų duomenis!
  • Kokie duomenys renkami? „Asmens duomenys“ reiškia visą informaciją, kuri grįžta pas vieną asmenį dėl jo santykių, savybių, įpročių ar gyvenimo būdo. Tai identifikavimo informacija (vardas, pavardė, adresas), jautrūs duomenys (religinė ar seksualinė orientacija), teisminė informacija (dabartinės ar buvusios bylos), naujų technologijų duomenys (el. pašto arba IP adresas). Geras GDPR visada nurodo, kurie duomenys iš jų yra renkami!
  • Ar tvarkymas apima profiliavimą? Turite tai nurodyti. Profiliavimas yra automatizuota duomenų rinkimo procedūra, leidžianti juos analizuoti ir suskirstyti į kategorijas ar grupes, kad būtų galima atlikti vertinimus ar prognozes.
  • Ar duomenys perduodami išorės subjektams? Atskleidžiant informaciją turi būti nurodyta, ar yra išorinių valdytojų, išskyrus duomenų valdytoją.
  • Kiek laiko ir kaip saugomi duomenys. Ar jie išgelbėti debesyje? „Excel“ lape? Kiek laiko jie laikomi?
  • Ar duomenys perduodami į kitą šalį? Atskleidimas turi būti perduodamas, jei asmens duomenys perduodami į šalis, nepriklausančias Europos Sąjungai.
  • Kokios yra suinteresuotosios šalies teisės?

BDAR nustato, kad duomenų subjektas turi šias teises:

  1. teisę būti informuotam apie tai, kaip ir kodėl yra tvarkomi jūsų duomenys
  2. teisę susipažinti su savo duomenimis
  3. teisę reikalauti ištaisyti savo duomenis
  4. savininko ir valdytojų teisė ištrinti duomenis
  5. teisę į duomenų perkeliamumą, t. y. reikalauti, kad duomenys būtų arba tiesiogiai perduoti kitai įmonei, kai tai techniškai įmanoma
  6. teisę nesutikti, t. y. prašyti organizacijos, kuri tvarko asmens duomenis – remiantis savo teisėtu interesu arba vykdant viešąjį interesą atitinkančią veiklą, arba valdžios institucijai – jų nenaudoti
  7. teisę nebūti automatizuotų pasirinkimų, pvz., profiliavimo, subjektui
mokymas