Учёба и проверка
Все положения портала в одном месте. Две задачи, которые оказываются одной: выучить, что право на самом деле говорит, и проверить, правда ли то, что мы о нём написали.
Прогресс проверки
0 из 48 проверено человекомНичто не попадает к реальным пользователям, пока это не охватит весь корпус. Непроверенный текст — это утверждение, за которое ещё никто не поручился.
Как проверить одно положение
- Откройте первоисточник по ссылке на карточке. Прочитайте саму статью, а не её пересказ.
- Сверьте её с нашим текстом простым языком, предложение за предложением. Ищите три ошибки: утверждение, которого в статье нет; пропущенное условие или исключение; срок или число, которое не сходится.
- Исправьте текст в соответствующем файле lib/spine, если он неверен. Если верен — не трогайте.
- Добавьте отметку о проверке к этой записи: дату, своё имя и короткую заметку, что именно вы сверили. Добавляйте только если действительно открывали источник.
Это заодно и самый быстрый способ выучить материал. Вы не запомните статью, которую пролистали; вы запомните ту, с которой пришлось сверять чужой пересказ.
Положений: 17
Правовое основание обработки
GDPR Art. 6 · CELEX 32016R0679 ↗Показать, что там сказано
Организация может обрабатывать ваши персональные данные только при наличии одного из шести правовых оснований: вашего согласия; исполнения договора с вами; юридической обязанности; защиты жизненно важных интересов; задачи в публичных интересах; либо собственного законного интереса, взвешенного относительно ваших прав и свобод. Основание она обязана определить до начала обработки и сообщить, на какое именно ссылается. Органы власти не могут опираться на законный интерес при выполнении своих официальных задач, а основание нельзя подменить позже, чтобы оправдать оспоренное вами использование данных.
Ещё не проверено человекомОсобые категории данных (чувствительные данные)
GDPR Art. 9 · CELEX 32016R0679 ↗Показать, что там сказано
Данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или мировоззренческие убеждения либо членство в профсоюзе, — а также генетические данные, биометрические данные для идентификации и данные о здоровье, половой жизни или сексуальной ориентации — по умолчанию обрабатывать вообще запрещено. Это становится законным лишь при узком исключении: чаще всего при вашем прямом согласии, на основании трудового права или права социального обеспечения, для защиты жизненно важных интересов, если вы сами обнародовали эти данные, для правовых требований или в рамках медицинской помощи, оказываемой лицом, связанным профессиональной тайной. Обычного согласия, спрятанного в условиях пользования, здесь недостаточно — оно должно быть прямым.
Ещё не проверено человекомЧто вам обязаны сообщить (обязанность информирования)
GDPR Art. 13, Art. 14 · CELEX 32016R0679 ↗Показать, что там сказано
Организация обязана по собственной инициативе — без запроса с вашей стороны — сообщить, кто она, зачем обрабатывает ваши данные, на каком правовом основании, кто получает данные, как долго она их хранит, передаются ли они за пределы ЕС, являются ли решения о вас автоматизированными и какие у вас права, включая отзыв согласия и жалобу в надзорный орган. Если данные собраны непосредственно у вас, это должно произойти в момент сбора. Если данные получены откуда-то ещё — от брокера данных, из публичного реестра, от другой компании — она обязана дополнительно указать источник, в разумный срок и самое позднее в течение месяца либо при первом обращении к вам, если оно наступит раньше.
Ещё не проверено человекомПраво на доступ
GDPR Art. 15 · CELEX 32016R0679 ↗Показать, что там сказано
Вы можете спросить любую компанию или организацию, обрабатывает ли она ваши персональные данные, и получить их копию вместе с целями, категориями, получателями, сроком хранения и источником. Ответ должен прийти в течение месяца (с возможностью продления ещё на два месяца в сложных случаях, ст. 12(3)) и, как правило, бесплатен.
Ещё не проверено человекомПраво на исправление
GDPR Art. 16 · CELEX 32016R0679 ↗Показать, что там сказано
Вы можете требовать от организации без неоправданной задержки исправить неточные персональные данные о вас и дополнить неполные данные.
Ещё не проверено человекомПраво на удаление («право быть забытым»)
GDPR Art. 17 · CELEX 32016R0679 ↗Показать, что там сказано
Вы можете требовать удаления своих персональных данных, и организация обязана сделать это без неоправданной задержки — если не действует исключение, например юридическая обязанность хранить данные (скажем, налоговая), свобода выражения или защита правовых требований. Отказ должен быть обоснован; «мы просто не хотим» — не основание.
Ещё не проверено человекомПраво на перенос данных
GDPR Art. 20 · CELEX 32016R0679 ↗Показать, что там сказано
Вы можете получить персональные данные, которые предоставили сервису, в структурированном, распространённом, машиночитаемом формате и перенести их к другому провайдеру. Это касается данных, обрабатываемых автоматизированно на основании согласия или договора; прямая передача между провайдерами — только если это технически осуществимо.
Ещё не проверено человекомПраво на возражение
GDPR Art. 21 · CELEX 32016R0679 ↗Показать, что там сказано
Вы можете возразить против обработки на основании «законных интересов» и против любой обработки для прямого маркетинга. При прямом маркетинге организация обязана просто прекратить; в остальных случаях — если не докажет веских преобладающих оснований.
Ещё не проверено человекомПраво на ограничение обработки
GDPR Art. 18 · CELEX 32016R0679 ↗Показать, что там сказано
Вместо удаления вы можете потребовать заморозить обработку: организация может продолжать хранить ваши данные, но в остальном обязана оставить их в покое. Вы можете требовать этого, пока она проверяет данные, точность которых вы оспариваете; когда обработка незаконна, но вы предпочитаете ограничение удалению; когда данные ей больше не нужны, а вам нужны для правового требования; либо пока оценивается ваше возражение по статье 21. Во время ограничения всё, что выходит за рамки хранения, допустимо лишь с вашего согласия, для правовых требований, для защиты прав другого лица или ввиду важного общественного интереса — а о снятии ограничения организация обязана вас предупредить.
Ещё не проверено человекомАвтоматизированные решения и профилирование
GDPR Art. 22 · CELEX 32016R0679 ↗Показать, что там сказано
Вы имеете право не подлежать решению, основанному исключительно на автоматизированной обработке, включая профилирование, если оно порождает в отношении вас правовые последствия или сходным образом существенно на вас влияет — автоматический отказ в кредите, алгоритмическое отклонение заявки на работу, автоматическое закрытие счёта. Такое решение допустимо лишь тогда, когда оно необходимо для договора, разрешено правом ЕС или национальным правом с гарантиями, либо основано на вашем прямом согласии; в случаях договора и согласия вы всегда можете потребовать вмешательства человека, изложить свою позицию и оспорить результат. Сам скоринговый балл, выставленный кредитным бюро, может быть таким решением, если получающая его компания в решающей степени на него опирается (Суд ЕС, SCHUFA, C-634/21).
Ещё не проверено человекомДействительное согласие
GDPR Art. 7, Art. 4(11) · CELEX 32016R0679 ↗Показать, что там сказано
Согласие должно быть добровольным, конкретным, информированным и недвусмысленным, выраженным ясным утвердительным действием. Заранее проставленные галочки — не действительное согласие (Суд ЕС, Planet49, C-673/17). Отозвать согласие должно быть так же легко, как и дать — скрытая или многошаговая кнопка «отклонить» рядом с «принять» в один клик не проходит этот тест.
Ещё не проверено человекомПрозрачность на работе (мониторинг работников)
GDPR Art. 5(1)(a), Art. 88 · CELEX 32016R0679 ↗Показать, что там сказано
Персональные данные должны обрабатываться законно, добросовестно и прозрачно — скрытый мониторинг работников законен лишь в исключительных случаях, и о мониторинге обычно должны сообщить до его начала. Детальные правила для данных работников устанавливает национальное право на основании статьи 88, поэтому они различаются между государствами: проверьте правила своей страны или обратитесь в инспекцию труда.
Ещё не проверено человекомОбязанности ответа и сроки
GDPR Art. 12 · CELEX 32016R0679 ↗Показать, что там сказано
Когда вы пользуетесь правом в отношении данных, организация должна ответить без неоправданной задержки, самое позднее в течение месяца (срок можно продлить ещё на два месяца в сложных случаях — о продлении вас должны уведомить). При отказе она обязана объяснить причины и сообщить о вашем праве пожаловаться в орган защиты данных и обратиться в суд. Коммуникация должна быть краткой, прозрачной и на простом языке.
Ещё не проверено человекомИсключения из права на удаление
GDPR Art. 17(3) · CELEX 32016R0679 ↗Показать, что там сказано
Отказать в удалении законно можно только тогда, когда обработка нужна для: свободы выражения и информации; выполнения юридической обязанности или задачи в публичных интересах; здравоохранения; архивирования в публичных интересах, научных или исторических исследований либо статистики; или установления, осуществления или защиты правовых требований. Компания обязана указать, на какое исключение ссылается — простого отказа недостаточно.
Ещё не проверено человекомПраво на жалобу в надзорный орган
GDPR Art. 77 · CELEX 32016R0679 ↗Показать, что там сказано
Если вы считаете, что ваши права на защиту данных нарушены, вы можете подать жалобу в орган защиты данных — в государстве, где вы живёте, работаете или где произошло нарушение. Это бесплатно и не требует юриста.
Ещё не проверено человекомНарушение защиты данных — кого и когда обязаны уведомить
GDPR Art. 33, Art. 34 · CELEX 32016R0679 ↗Показать, что там сказано
Когда происходит нарушение защиты персональных данных — утечка, кража, изменение или потеря — организация обязана уведомить надзорный орган без неоправданной задержки и, если это осуществимо, в течение 72 часов с момента, когда ей стало известно, кроме случаев, когда нарушение вряд ли угрожает правам людей. Если нарушение может повлечь высокий риск лично для вас, она обязана уведомить и вас — без неоправданной задержки и простым языком: что произошло, каковы вероятные последствия и что она делает в ответ. Не уведомлять вас она может лишь тогда, когда данные были непонятны получившему их лицу (например, надлежаще зашифрованы), когда она уже приняла меры, устраняющие высокий риск, либо — если индивидуальное уведомление потребовало бы несоразмерных усилий — заменив его публичным заявлением.
Ещё не проверено человекомОбращение в суд и компенсация
GDPR Art. 79, Art. 82 · CELEX 32016R0679 ↗Показать, что там сказано
Помимо жалобы в орган, вы можете подать в суд на организацию напрямую — в судах государства, где она учреждена, или государства вашего обычного проживания — и требовать возмещения имущественного вреда (реально потерянных денег) либо неимущественного (например, за пережитые страдания). Организация освобождается от ответственности лишь тогда, когда докажет, что никоим образом не виновна в причинении вреда. Само по себе нарушение не даёт автоматического права на деньги: нужно показать, что вред действительно наступил, хотя никакого порога его существенности не установлено (Суд ЕС, Österreichische Post, C-300/21). Жалоба в орган и иск — независимые пути, вы можете воспользоваться обоими.
Ещё не проверено человеком