Лични данни - как да си ги защитя?

Университет, работодател, магазин или сайт събира информация за мен. Имам право да знам кой я използва, за какво, на какво основание и докога. Защитата произтича основно от Общия регламент относно защитата на данните (GDPR) и Закона за защита на личните данни (ЗЗЛД).

Кои данни са лични?

Това е информация за живо физическо лице, което е установено или може да бъде установено пряко или непряко. Освен име, ЕГН и адрес, лични могат да бъдат снимка, местоположение, данни за работа, покупки, здраве или онлайн идентификатор като IP адрес, когато позволяват идентифициране. Събирането, съхраняването, използването, изпращането и изтриването са все форми на обработване.

Администраторът определя целите и основните средства за обработването. Друг доставчик може да обработва данни от негово име като обработващ. Няма общ регистрационен режим, който предварително да разрешава на всяка фирма да обработва лични данни: тя сама трябва да осигури и докаже спазването на правилата.

Винаги ли трябва да дам съгласие?

Не. Съгласието е едно от основанията по чл. 6 GDPR. Други са необходимостта за договор или поискани преддоговорни действия, законово задължение, защита на жизненоважни интереси, задача от обществен интерес или упражняване на официални правомощия. В допустимите случаи може да се използва и легитимен интерес след преценка спрямо моите права и интереси.

Когато основанието е съгласие, то трябва да бъде свободно, конкретно, информирано и недвусмислено. Мога да го оттегля толкова лесно, колкото съм го дал. Това не прави автоматично незаконни действията преди оттеглянето и не заличава задълженията за съхранение, произтичащи от закон.

Здравните данни, политическите и религиозните убеждения, генетичните данни, определени биометрични данни и другите специални категории по чл. 9 се ползват със засилена защита. Освен общо основание е необходимо приложимо изключение от забраната — например изрично съгласие, законово уредени трудови задължения, медицинска помощ при съответните условия или защита на правни претенции. Самото качество „НПО“ не разрешава свободно обработване на всички чувствителни данни.

Могат ли да копират личната ми карта?

По чл. 25г ЗЗЛД администратор или обработващ може да копира документ за самоличност, шофьорска книжка или документ за пребиваване само ако това е предвидено със закон. Искането да покажа документ за проверка е различно от запазването на негово копие. Само декларация „съгласен съм“ не заменя необходимото законово основание за копиране.

Преди да изпратя копие, проверявам кой го иска, точната законова причина и защитения начин за предоставяне. Не изпращам документ на непознат адрес само защото съобщението изглежда официално.

Какви права мога да упражня?

• Информация и достъп: да получа потвърждение дали се обработват мои данни, копие от тях и информация за целите, получателите, сроковете и източника, когато е приложимо.
• Поправка: да поискам неточните данни да бъдат коригирани.
• Изтриване или ограничаване: когато са изпълнени съответните условия. Правото на изтриване има изключения, включително законово съхранение и защита на правни претенции.
• Възражение: в предвидените случаи срещу обработване поради особената ми ситуация. При директен маркетинг след възражение данните не могат да се използват за тази цел.
• Преносимост: при автоматизирано обработване на предоставени от мен данни, основано на съгласие или договор, при условията на чл. 20.
• Защита при автоматизирани решения: специалните гаранции на чл. 22 при решения, основани единствено на автоматизирано обработване и пораждащи правни или сходни значими последици.

Изпращам конкретно искане до администратора или длъжностното лице по защита на данните и запазвам доказателство за получаването. Отговорът е без ненужно забавяне, най-късно до един месец. При сложност или много искания срокът може да се удължи с още два месеца, но трябва да бъда уведомен за причините в първия месец. По правило упражняването на правата е безплатно; изключения има при явно неоснователни или прекомерни искания.

Как подавам жалба до КЗЛД?

При нарушение мога да сезирам Комисията за защита на личните данни в срок шест месеца от узнаването, но не по-късно от две години от извършването. Посочвам самоличността и адреса си за кореспонденция, администратора, фактите и датите, нарушението, искането си и наличните доказателства. Жалбата се подписва; анонимна жалба не се разглежда по този ред.

Актуалните начини са описани на страницата на КЗЛД за жалби и сигнали. При подаване на електронната поща се изисква електронен документ с квалифициран електронен подпис. Само снимка или сканиран подпис не изпълняват това изискване.

КЗЛД информира за напредъка или резултата в тримесечен срок; това не е обещание всяко производство да приключи дотогава. Решението подлежи на съдебно обжалване в 14-дневен срок от получаването. Възможни са и съдебна защита срещу администратора и иск за обезщетение при съответните предпоставки. За едно и също нарушение има правила за съотношението между производствата, затова ги съобразявам преди паралелно сезиране.

Правилата важат и за публичните органи. Нито държавна система, нито частен сайт могат да обещаят абсолютна техническа сигурност. При съмнение за злоупотреба мога да потърся правна помощ; за организиране на защита в бизнеса — информация за GDPR.

Правна основа: Регламент (ЕС) 2016/679 — чл. 4–9, 12–22 и 77–82; ЗЗЛД — чл. 25г и 38–39.

Участие в актуализацията: Боряна Русева.