GDPR: Što sve trebate znati kad zahtijevate pravo na pristup osobnim podacima?

No, koliko u praksi o tom pravu znaju pojedinci, koji ovim pravom mogu ostvariti veću kontrolu nad svojim osobnim podacima i u konačnici, što to znači za osobu čiji se podaci obrađuju (ispitanika) a što za poslovni subjekt (voditelja obrade).

Pravo na pristup osobnim podacima i Opća uredba (GDPR)

Opća uredba određuje da svatko ima pravo dobiti informacije obrađuje li poslovni subjekt bilo koji njegov osobni podatak. U slučaju da poslovni subjekt obrađuje naše osobne podatke imamo pravo dobiti sljedeće informacije:
- o svrsi takve obrade
- o kojim osobnim podacima je riječ
- sve treće strane s kojima je voditelj podijelio osobne podatke, s kojom pravnom osnovom i koje sve osobne podatke
- na koji rok se podaci pohranjuju i na temelju čega je utvrđen taj rok
- informacije o postojanju prava da se zatraži ispravak ili brisanje
- o mogućnosti ograničavanja obrade osobnih podataka
- ako osobni podaci nisu prikupljeni direktno od nas kao ispitanika onda imamo pravo dobiti informaciju o izvoru prikupljanja naših osobnih podataka
- informacije o postojanju automatiziranog donošenja odluka, uključujući i izradu profila
- informacije o pravu na podnošenje pritužbe nadzornom tijelu.

Dobivam li pravom na pristup osobnim podacima i preslike dokumenata gdje se ti podaci nalaze?

Za osobu čiji se osobni podaci obrađuju, osim generalnog dobivanja navedenih informacija, pravo na pristup osobnim podacima obuhvaća i pravo dobivanja preslike svih dokumenata na kojima se ti osobni podaci nalaze. Samo je u zahtjevu za pristup osobnim podacima to nužno izričito i zatražiti. U suprotnom, poslovni subjekt neće biti dužan dostaviti presliku svih dokumenata na kojima se nalaze osobni podaci osobe koja traži pristup svojim osobnim podacima te će dostaviti samo informacije o obradi osobnih podataka.

Preslika takvih dokumenata uključuje presliku dokumenata koje je osoba sama dostavila poslovnom subjektu kao i presliku svih onih dokumenta koji je poslovni subjekt samostalno izradio. Ilustracija takve obveze je najbolje vidljiva iz dva primjera iz prakse u EU.

U prvom primjeru, koji ukazuje na obvezu dostave i onih dokumenata koji je osoba sama dostavila poslovnom subjektu, govori slučaj kada je Ciparsko nadzorno tijelo utvrdilo da je Ciparska banka bila dužna dostaviti klijentu presliku ugovora koji klijent ima s osiguravajućeg društva Eurolife ltd, a koji su isti trebali imati pohranjenog na temelju ugovornog odnosa koji osoba ima s Ciparskom bankom (NCn.: DSB-D122.844/0006-DSB/2018 od 17. lipnja 2020. godine). Kao rezultat nepravodobne dostave tog dokumenta banci je izrečena novčana kazna.
Za obvezu dostave dokumenata koji je poslovni subjekt samostalno izradio imamo slučaj kada je Vrhovni sud Austrije utvrdio da osoba ima pravo dobiti od zdravstvene ustanove presliku svih podataka iz zdravstvene kartoteke, a koja uključuje i sve nalaze izvršenih pretraga, mišljenja liječnika, preporuke, propisane recepte, informacije o tretmanima ili intervencijama (NCn.: 6Ob138/20t od 17. prosinca 2020. godine)

Hoće li mi voditelj obrade naplatiti sve troškove ispunjenja zahtjeva na pristup osobnim podacima, uključujući i preslike dokumenata?

Sve preslike dokumenata na kojima se nalaze osobni podaci, imamo pravo dobiti besplatno osim u posebno predviđenim okolnostima, primjerice, ako se preslika takvih dokumenata zahtjeva učestalo ili ako isto predviđa iznimni napor poslovnog subjekta. U takvim, okolnostima može se naplatiti razumna naknada.

Tako možemo zatražiti kopiju povijesnih podataka o bankovnim transakcijama u posljednjih pet godina u svezi s bilo kojim našim bankovnim računom, uključujući i poslovne račune. Za to imamo dobar primjer iz prakse kada je austrijsko nadzorno tijelo utvrdilo (NCn.: DSB-D122.844/0006-DSB/2018) da sukladno Općoj uredbi banka nije imala pravo zaračunati iznos koji isti ima predviđen za tzv. povijesni izvadak radi dostave traženih preslika o bankovnim transakcijama u posljednjih pet godina.

U kojem roku trebamo dobiti tražene informacije o obradi osobnih podataka kao i preslike dokumenata na kojima se isti nalaze?

Osoba koja traži informacije o obradi svojih osobnih podataka ili njihovu presliku, ima pravo te informacije kao i presliku dokumenata dobiti u roku od trideset (30) dana od dana podnošenja zahtjeva.

U slučaju da poslovni subjekt nije u mogućnosti od 30 dana pružiti tražene informacije i izvršiti dostavu preslike dokumenata, tada je dužan obavijestiti osobu (ispitanika) o produženju tog roka kao i razlozima zbog kojih se rok produžuje i sve to prije isteka roka od 30 dana od dana podnošenja zahtjeva za pristup osobnim podacima. Propuštanjem roka od 30 dana kao i u slučaju nepotpune dostave traženih informacija i preslika dokumenata, osoba može podnijeti zahtjev za zaštitu svojih prava nadzornom tijelu za zaštitu podataka i u slučaju utvrđivanja povrede ostvaruje mogućnost na postupak naknade štete.

Iz svega navedenog možemo vidjeti da kod ostvarivanja prava na pristup osobnim podacima nije dovoljno samo generalno navesti informacije o obradi osobnih podataka. Te informacije moraju biti točno i jasno određene, a zahtjev za preslikom svih dokumenata na kojima se ti osobni podaci nalaze treba obuhvaćati i dokumente koje je osoba sama dostavila poslovnom subjektu kao i sve one koje je poslovni subjekt samostalno izradio ili pribavio od treće strane.