Mindenki sejti, hogy a cégek adatokat gyűjtenek róla, de kevesen tudják, hogy egyetlen levéllel kikérhetik a teljes listát. Az adathozzáférési kérelem a GDPR egyik legerősebb, mégis legritkábban használt eszköze – ingyenes, formakötetlen, és a válaszra egy hónapja van a másik félnek.
Mire jó az adathozzáférési kérelem?
A NAIH összefoglalója szerint a hozzáférés joga azt jelenti, hogy visszaigazolást kérhetsz arról, kezelik-e a személyes adataidat, és másolatot kaphatsz róluk. Emellett meg kell tudnod, milyen célból, milyen jogalapon, meddig és kikkel osztják meg őket.
Ez azonban csak az egyik a hat érintetti jog közül. A NAIH felsorolása szerint jogod van a helyesbítéshez, a törléshez (a jól ismert „elfeledtetéshez”), az adatkezelés korlátozásához, az adathordozhatósághoz – vagyis ahhoz, hogy géppel olvasható formában megkapd és átvidd az adataidat –, valamint a tiltakozáshoz, különösen közvetlen üzletszerzés esetén.
Mennyi idő alatt kell válaszolni egy adathozzáférési kérelemre?
Az adatkezelőnek indokolatlan késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül kell reagálnia. Ez a határidő két hónappal meghosszabbítható, ha a kérelem összetett vagy sok van belőle – de erről az első hónapon belül tájékoztatniuk kell téged.
Ha nem intézkednek, akkor is kötelesek megírni, miért nem, és tájékoztatniuk kell arról, hogy panaszt tehetsz a hatóságnál, illetve bírósághoz fordulhatsz. Uniós szinten ugyanez a szabály: a hozzáférés terítésmentes, a nemzeti adatvédelmi hatóság pedig három hónapon belül válaszol a panaszodra.
Kihez érdemes kérelmet küldeni?
A leggyakoribb célpontok a nagy platformok, de a valóban meglepő eredményt általában a kisebb szereplők adják: hűségprogramok, ingatlanközvetítők, biztosítási alkuszok, régi webshopok. Ezeknél derül ki, hogy évekkel ezelőtti adataid még mindig aktív rendszerekben ülnek.
Így írj adathozzáférési kérelmet
Nincs kötelező formanyomtatvány. Egy e-mail is elég, ha egyértelmű. Néhány dolog, amit érdemes beleírni:
- Ki vagy, és milyen minőségben fordulsz hozzájuk (ügyfél, hírlevél-feliratkozó, álláspályázó).
- Hogy a GDPR 15. cikke szerinti hozzáférési jogoddal élsz.
- Pontosan mit kérsz: az adatok másolatát, a kezelés célját, jogalapját, időtartamát és a címzettek körét.
- Milyen formátumban kéred a választ.
- Elérhetőséget, ahol azonosítható vagy.
A címzett általában az adatvédelmi tisztviselő; az elérhetőségét az adatkezelési tájékoztató tartalmazza. Ha nincs ilyen, az általános ügyfélszolgálati cím is megfelel.
Mire számíts a válaszban?
Az adathozzáférési kérelemre adott válaszok minősége nagyon eltérő.
A nagy platformok jellemzően automatizált letöltési felületet adnak, ahol pár kattintással exportálhatod a rólad tárolt adatokat. Kisebb cégeknél viszont gyakran kiderül, hogy maguk sem tudják pontosan, hol vannak az adataid – ez önmagában is tanulságos. Ha a válasz hiányos vagy elmarad, a NAIH-hoz fordulhatsz.
Mit kezdj a kapott adatokkal?
Sokan itt hagyják abba: megérkezik egy nagy zip-fájl, és soha nem nyitják meg. Pedig a lényeg éppen a következő lépésekben van.
Az adathozzáférési kérelem akkor ér valamit, ha lépsz is utána. Tipikus következő lépések: a felesleges hozzájárulások visszavonása, a hirdetési profil kikapcsolása – erről a reklámprofilod kezeléséről szóló cikkünkben írtunk –, illetve a keresőben megjelenő adatok rendezése, amihez a Google találatok eltávolításáról szóló írásunk ad receptet.
Érdemes tudni azt is, hogy a nyomon követés kereteit a sütiszabályok határozzák meg – a részleteket a harmadik féltől származó sütikről szóló cikkünkben találod –, a nagy platformok kötelezettségeit pedig a DSA rendelet is bővítette.
Cégként hogyan készülj fel egy adathozzáférési kérelemre?
- Legyen listád arról, hol tárolsz személyes adatot: CRM, hírlevélrendszer, könyvelés, e-mail-fiókok.
- Nevezz meg felelőst, aki a kérelmeket fogadja, és rögzítsd a folyamatot írásban.
- Tartsd az egy hónapos határidőt, és ha csúszol, jelezd időben.
- Ne feledd, hogy egy elmaradt válasz önmagában is jogsértés – és ha közben adatvédelmi incidens is történik, az további kötelezettséget hoz, amiről az adatvédelmi incidens 72 órájáról szóló cikkünkben írtunk.
Az adathozzáférési kérelem tehát kétirányú: fogyasztóként egy ingyenes eszköz, vállalkozóként pedig egy próbatétel, amire érdemes felkészülni. Ha szeretnéd, hogy valaki átnézze a céged adatkezelési folyamatait, nézd meg szolgáltatásainkat, vagy keress minket a kapcsolat oldalon.
Források: NAIH – Érintetti jogok gyakorlása a GDPR alatt, Az Ön Európája – Adatvédelem és online magánélet