Právo na přístup k osobním údajům podle GDPR: jak zjistit, co o vás firma ví

Co je právo na přístup

Článek 15 GDPR dává každému právo získat od správce potvrzení, zda zpracovává jeho osobní údaje. Pokud ano, máte právo získat k nim přístup a další informace o tom, jak s nimi zachází.

Správcem je ten, kdo určuje, proč a jak se údaje zpracovávají. Může to být e-shop, banka, zaměstnavatel, lékař, obec nebo marketingová agentura. Žádost podáváte správci, ne firmě, která pro něj údaje jen zpracovává.

Co musí odpověď obsahovat

Správce vám musí sdělit nejen samotné údaje, ale i informace o zpracování (čl. 15 odst. 1 GDPR):

• účely zpracování,
• kategorie dotčených osobních údajů,
• příjemce nebo kategorie příjemců, zejména ve třetích zemích,
• plánovanou dobu uložení, nebo kritéria pro její určení,
• poučení o právu na opravu, výmaz, omezení zpracování a vznesení námitky,
• poučení o právu podat stížnost u dozorového úřadu,
• zdroj údajů, pokud nebyly získány od vás,
• informaci o automatizovaném rozhodování včetně profilování.

Kopie údajů

Správce vám musí poskytnout kopii zpracovávaných osobních údajů (čl. 15 odst. 3 GDPR). První kopie je zdarma. Za další kopie může správce účtovat přiměřený poplatek odpovídající administrativním nákladům.

Pokud žádost podáte elektronicky, poskytnou se informace v běžně používané elektronické podobě, pokud nepožádáte o jiný způsob. Právo na kopii nesmí nepříznivě ovlivnit práva a svobody jiných osob. Správce proto může například začernit údaje třetích osob.

Lhůta pro odpověď

Správce musí odpovědět bez zbytečného odkladu, nejpozději do jednoho měsíce od obdržení žádosti (čl. 12 odst. 3 GDPR). Ve složitých případech nebo při velkém počtu žádostí může lhůtu prodloužit o další dva měsíce. O prodloužení a jeho důvodech vás však musí informovat do jednoho měsíce.

Pokud správce nevyhoví, musí vám do jednoho měsíce sdělit důvody a poučit vás o možnosti podat stížnost u dozorového úřadu a žalobu (čl. 12 odst. 4 GDPR).

Jak žádost napsat

Žádost nemá předepsanou formu. Můžete ji poslat e-mailem, dopisem nebo přes formulář na webu správce. Hledejte kontakt na pověřence pro ochranu osobních údajů, bývá uveden v zásadách zpracování osobních údajů.

V žádosti uveďte své jméno a údaje, podle kterých vás správce najde, například e-mail, telefonní číslo nebo číslo zákaznické smlouvy. Napište, že žádáte o přístup podle článku 15 GDPR, a výslovně požádejte o kopii údajů. Uschovejte si doklad o odeslání.

Pokud má správce důvodné pochybnosti o vaší totožnosti, může si vyžádat dodatečné informace k jejímu ověření (čl. 12 odst. 6 GDPR). Neposílejte ale kopii občanského průkazu, pokud to není nezbytné.

Kdy může správce žádost odmítnout

Pokud je žádost zjevně nedůvodná nebo nepřiměřená, zejména protože se opakuje, může správce účtovat přiměřený poplatek nebo žádost odmítnout (čl. 12 odst. 5 GDPR). Zjevnou nedůvodnost nebo nepřiměřenost musí prokázat správce.

Jedna žádost za rok nebo nová žádost po změně okolností obvykle nepřiměřená není.

Právo na přístup u zaměstnavatele a úřadů

Právo na přístup můžete uplatnit i u současného nebo bývalého zaměstnavatele. Získáte tak přehled o tom, co o vás vede v osobní složce, jaké údaje předává pojišťovnám a úřadům a jak dlouho je uchovává.

Žádost můžete podat i úřadům, nemocnicím nebo školám. U některých údajů mohou platit zvláštní zákony, například o zdravotní dokumentaci nebo o přestupkovém řízení, které mohou přístup upravit podrobněji. Správce vám v takovém případě musí vysvětlit, podle jakého předpisu postupuje.

Tip: ukládejte si komunikaci

Celou komunikaci se správcem si ukládejte. Pokud budete podávat stížnost u Úřadu pro ochranu osobních údajů, budete potřebovat doložit, kdy jste žádost podali, co jste požadovali a jak správce reagoval. Nejjednodušší je poslat žádost e-mailem a uložit si odeslanou zprávu i odpověď. Pokud správce komunikuje přes zákaznický portál, pořiďte si snímky obrazovky s datem. Zapište si i telefonáty, kdy proběhly a s kým jste mluvili. Úřad pak snáz posoudí, zda správce dodržel lhůty a odpověděl úplně.

Jak s návodem a vzorem pracovat

Tento článek popisuje obecná pravidla a typické situace. Každý případ má ale své podrobnosti: co přesně stojí ve vaší smlouvě, jak spolu strany komunikovaly, jaké máte doklady. Před odesláním dokumentu si proto znovu projděte vlastní smlouvu nebo obchodní podmínky a porovnejte je s tím, co se dočtete zde.

Vzor ve Vzorovce vám ušetří psaní a pomůže nezapomenout na důležité údaje. Nenahrazuje ale posouzení konkrétní situace. Pokud jde o vyšší částky, spor, který už eskaluje, nebo nestandardní ujednání, obraťte se na advokáta, notáře nebo spotřebitelskou poradnu.

Když správce neodpoví

Pokud správce neodpoví nebo odpoví neúplně, pošlete nejprve upomínku s odkazem na lhůtu. Pokud ani pak nereaguje, můžete podat stížnost u Úřadu pro ochranu osobních údajů (čl. 77 GDPR). Stížnost je bezplatná a lze ji podat elektronicky.

Po získání údajů můžete využít další práva, například požádat o opravu nepřesných údajů, o výmaz nebo vznést námitku proti zpracování pro přímý marketing. Pokud sami zpracováváte údaje jiných, například zákazníků nebo členů spolku, může se vám hodit vzor souhlasu se zpracováním osobních údajů.