Навчання і перевірка

Положень: 17

• Правова підстава обробки

  GDPR Art. 6 · CELEX 32016R0679 ↗

  Організація може обробляти ваші персональні дані лише за наявності однієї з шести правових підстав: вашої згоди; виконання договору з вами; юридичного обов'язку; захисту життєво важливих інтересів; завдання в публічних інтересах; або власного законного інтересу, зваженого щодо ваших прав і свобод. Підставу вона має визначити до початку обробки й повідомити, на яку саме посилається. Органи влади не можуть спиратися на законний інтерес у своїх офіційних завданнях, а підставу не можна підмінити згодом, щоб виправдати оскаржене вами використання даних.

  Ще не перевірено людиною

• Особливі категорії даних (чутливі дані)

  GDPR Art. 9 · CELEX 32016R0679 ↗

  Дані, що розкривають расове чи етнічне походження, політичні погляди, релігійні або світоглядні переконання чи членство у профспілці, — а також генетичні дані, біометричні дані для ідентифікації та дані про здоров'я, статеве життя чи сексуальну орієнтацію — за замовчуванням обробляти взагалі заборонено. Це стає законним лише за вузьким винятком: найчастіше за вашою прямою згодою, на підставі трудового права чи права соціального забезпечення, для захисту життєво важливих інтересів, якщо ви самі оприлюднили ці дані, для правових вимог або в межах медичної допомоги, що надається особою, зв'язаною професійною таємницею. Звичайна згода, схована в умовах користування, тут не достатня — вона має бути прямою.

  Ще не перевірено людиною

• Що вам мають повідомити (обов'язок інформування)

  GDPR Art. 13, Art. 14 · CELEX 32016R0679 ↗

  Організація має з власної ініціативи — без вашого запиту — повідомити, ким вона є, навіщо обробляє ваші дані, на якій правовій підставі, хто отримує дані, як довго вона їх зберігає, чи передаються вони за межі ЄС, чи є рішення щодо вас автоматизованими та які у вас права, зокрема відкликати згоду й поскаржитися до наглядового органу. Якщо дані зібрано безпосередньо від вас, це має статися в момент збирання. Якщо дані отримано звідкись інде — від брокера даних, з публічного реєстру, від іншої компанії — вона має додатково вказати джерело, у розумний строк і щонайпізніше протягом місяця або під час першого звернення до вас, якщо воно настане раніше.

  Ще не перевірено людиною

• Право на доступ

  GDPR Art. 15 · CELEX 32016R0679 ↗

  Ви можете запитати будь-яку компанію чи організацію, чи обробляє вона ваші персональні дані, й отримати їх копію разом із цілями, категоріями, одержувачами, строком зберігання та джерелом. Відповідь має надійти протягом місяця (з можливістю продовження ще на два місяці у складних випадках, ст. 12(3)) і зазвичай є безкоштовною.

  Ще не перевірено людиною

• Право на виправлення

  GDPR Art. 16 · CELEX 32016R0679 ↗

  Ви можете вимагати від організації без зайвої затримки виправити неточні персональні дані про вас і доповнити неповні дані.

  Ще не перевірено людиною

• Право на видалення («право бути забутим»)

  GDPR Art. 17 · CELEX 32016R0679 ↗

  Ви можете вимагати видалення своїх персональних даних, і організація має зробити це без зайвої затримки — якщо не діє виняток, як-от юридичний обов'язок зберігати дані (наприклад, податковий), свобода вираження або захист правових вимог. Відмова має бути обґрунтованою; «ми просто не хочемо» — не підстава.

  Ще не перевірено людиною

• Право на перенесення даних

  GDPR Art. 20 · CELEX 32016R0679 ↗

  Ви можете отримати персональні дані, які надали сервісу, у структурованому, поширеному, машинозчитуваному форматі й перенести їх до іншого провайдера. Це стосується даних, що обробляються автоматизовано на підставі згоди або договору; пряма передача між провайдерами — лише якщо це технічно можливо.

  Ще не перевірено людиною

• Право на заперечення

  GDPR Art. 21 · CELEX 32016R0679 ↗

  Ви можете заперечити проти обробки на підставі «законних інтересів» і проти будь-якої обробки для прямого маркетингу. У разі прямого маркетингу організація має просто припинити; в інших випадках — якщо не доведе вагомих переважних підстав.

  Ще не перевірено людиною

• Право на обмеження обробки

  GDPR Art. 18 · CELEX 32016R0679 ↗

  Замість видалення ви можете вимагати заморозити обробку: організація може й далі зберігати ваші дані, але в іншому має залишити їх у спокої. Ви можете вимагати цього, поки вона перевіряє дані, точність яких ви заперечуєте; коли обробка незаконна, але ви віддаєте перевагу обмеженню, а не видаленню; коли дані їй уже не потрібні, а вам потрібні для правової вимоги; або поки оцінюється ваше заперечення за статтею 21. Під час обмеження будь-що понад зберігання дозволено лише за вашою згодою, для правових вимог, для захисту прав іншої особи чи з міркувань важливого суспільного інтересу — і про зняття обмеження організація має вас попередити.

  Ще не перевірено людиною

• Автоматизовані рішення та профілювання

  GDPR Art. 22 · CELEX 32016R0679 ↗

  Ви маєте право не підлягати рішенню, що ґрунтується виключно на автоматизованій обробці, включно з профілюванням, якщо воно породжує щодо вас правові наслідки або подібним чином істотно на вас впливає — автоматична відмова у кредиті, алгоритмічне відхилення заявки на роботу, автоматичне закриття рахунку. Таке рішення допустиме лише тоді, коли воно необхідне для договору, дозволене правом ЄС чи національним правом із запобіжниками, або ґрунтується на вашій прямій згоді; у випадках договору та згоди ви завжди можете вимагати втручання людини, викласти власну позицію й оскаржити результат. Сам скоринговий бал, виставлений кредитним бюро, може бути таким рішенням, якщо компанія, що його отримує, вирішальною мірою на нього спирається (Суд ЄС, SCHUFA, C-634/21).

  Ще не перевірено людиною

• Дійсна згода

  GDPR Art. 7, Art. 4(11) · CELEX 32016R0679 ↗

  Згода має бути добровільною, конкретною, поінформованою та недвозначною, вираженою чіткою ствердною дією. Заздалегідь проставлені галочки — не дійсна згода (Суд ЄС, Planet49, C-673/17). Відкликати згоду має бути так само легко, як і надати — прихована чи багатокрокова кнопка «відхилити» поруч із «прийняти» в один клік не проходить цей тест.

  Ще не перевірено людиною

• Прозорість на роботі (моніторинг працівників)

  GDPR Art. 5(1)(a), Art. 88 · CELEX 32016R0679 ↗

  Персональні дані мають оброблятися законно, добросовісно та прозоро — прихований моніторинг працівників законний лише у виняткових випадках, і про моніторинг зазвичай мають повідомити до його початку. Детальні правила для даних працівників встановлює національне право на підставі статті 88, тому вони різняться між державами: перевірте правила своєї країни або зверніться до інспекції праці.

  Ще не перевірено людиною

• Обов'язки відповіді та строки

  GDPR Art. 12 · CELEX 32016R0679 ↗

  Коли ви користуєтеся правом щодо даних, організація має відповісти без зайвої затримки, щонайпізніше протягом місяця (строк можна продовжити ще на два місяці у складних випадках — про продовження вас мають повідомити). У разі відмови вона мусить пояснити причини й повідомити про ваше право поскаржитися до органу захисту даних і звернутися до суду. Комунікація має бути стислою, прозорою та простою мовою.

  Ще не перевірено людиною

• Винятки з права на видалення

  GDPR Art. 17(3) · CELEX 32016R0679 ↗

  Відмовити у видаленні законно можна лише тоді, коли обробка потрібна для: свободи вираження та інформації; виконання юридичного обов'язку чи завдання в публічних інтересах; охорони здоров'я; архівування в публічних інтересах, наукових чи історичних досліджень або статистики; чи встановлення, здійснення або захисту правових вимог. Компанія мусить вказати, на який виняток посилається — самої відмови недостатньо.

  Ще не перевірено людиною

• Право на скаргу до наглядового органу

  GDPR Art. 77 · CELEX 32016R0679 ↗

  Якщо ви вважаєте, що ваші права на захист даних порушено, ви можете подати скаргу до органу захисту даних — у державі, де ви живете, працюєте або де сталося порушення. Це безкоштовно й не потребує юриста.

  Ще не перевірено людиною

• Порушення захисту даних — кого й коли мають повідомити

  GDPR Art. 33, Art. 34 · CELEX 32016R0679 ↗

  Коли стається порушення захисту персональних даних — витік, крадіжка, зміна чи втрата — організація має повідомити наглядовий орган без зайвої затримки й, якщо це можливо, протягом 72 годин з моменту, коли їй стало відомо, крім випадків, коли порушення навряд чи загрожує правам людей. Якщо порушення може спричинити високий ризик особисто для вас, вона має повідомити й вас — без зайвої затримки та простою мовою: що сталося, які ймовірні наслідки і що вона робить у відповідь. Не повідомляти вас вона може лише тоді, коли дані були незрозумілими для того, хто їх отримав (наприклад, належно зашифровані), коли вона вже вжила заходів, що усувають високий ризик, або — якщо індивідуальне повідомлення потребувало б непропорційних зусиль — замінивши його публічною заявою.

  Ще не перевірено людиною

• Звернення до суду та відшкодування

  GDPR Art. 79, Art. 82 · CELEX 32016R0679 ↗

  Окрім скарги до органу, ви можете позиватися до організації безпосередньо — у судах держави, де вона має осідок, або держави вашого звичайного проживання — і вимагати відшкодування майнової шкоди (реально втрачених грошей) чи немайнової (наприклад, за пережиті страждання). Організація звільняється від відповідальності лише тоді, коли доведе, що жодним чином не винна у заподіянні шкоди. Саме лише порушення не дає автоматичного права на гроші: потрібно показати, що шкода справді настала, хоча жодного порогу її істотності не встановлено (Суд ЄС, Österreichische Post, C-300/21). Скарга до органу й позов — незалежні шляхи, ви можете скористатися обома.

  Ще не перевірено людиною