Skúste si spomenúť, koľkým firmám ste za posledných desať rokov dali svoje meno, email, telefón, adresu, možno aj číslo občianskeho preukazu. E-shopy, mobilní operátori, fitness aplikácie, letenky za akciovú cenu, ktoré ste si kúpili raz a nikdy viac. Každá z nich má o vás niekde v databáze záznam. Otázka znie, čo presne si tam napísali a či to všetko ešte vôbec potrebujú.
Väčšina ľudí žije v presvedčení, že vlastné dáta patria firmám, ktoré ich zozbierali. Nepatria. Podľa GDPR, teda nariadenia, ktoré platí v celej Európskej únii od roku 2018, máte právo požiadať akúkoľvek firmu alebo inštitúciu o kompletný výpis toho, čo o vás vedie, odkiaľ to má a komu to prípadne posiela ďalej. A firma vám to musí dať. Zadarmo, do jedného mesiaca, bez toho, aby sa vás pýtala, prečo to chcete vedieť.
Žiadosť, ktorá nepotrebuje právnika
Volá sa to žiadosť o prístup k osobným údajom, po anglicky Subject Access Request. Znie to byrokraticky, v skutočnosti stačí email. Nemusíte citovať paragrafy, nemusíte sa tváriť ako absolvent práva. Stačí napísať niečo v duchu: podľa článku 15 GDPR žiadam o poskytnutie kópie všetkých osobných údajov, ktoré o mne evidujete, vrátane zdroja, účelu spracovania a doby uchovávania. Pod to meno, dátum narodenia alebo iný identifikátor, ktorý firma použije na to, aby si vás vôbec našla v systéme.
Odosiela sa to najčastejšie na adresu, ktorá sa volá dpo@ alebo privacy@, prípadne priamo cez formulár v sekcii ochrany osobných údajov na webe. Ak firma taký kontakt nemá viditeľný, funguje aj bežný zákaznícky email. Zákon jej nedáva možnosť žiadosť ignorovať len preto, že prišla nesprávnym kanálom.
Najčastejšia chyba je, že ľudia čakajú komplikovaný proces, a tak sa doň nikdy nepustia. Realita je opačná — ide o jeden z mála skutočne funkčných nástrojov, ktoré bežný občan voči veľkej firme má.
Čo sa dá čakať, keď odpoveď príde
Odpoveď máva podobu buď priateľského PDF súboru s pekne štruktúrovanými dátami, alebo, čo je bohužiaľ častejšie, exportu, ktorý vyzerá, akoby ho niekto vygeneroval narýchlo tesne pred termínom. Nájdete tam históriu objednávok, IP adresy, z ktorých ste sa prihlasovali, marketingové segmenty, do ktorých vás firma zaradila, prípadne aj poznámky, ktoré si o vás písal zákaznícky servis. Niekedy je to nudné čítanie. Inokedy zistíte, že vás firma vedie pod štítkom ako „nízka miera vernosti“ alebo že vaše nákupné správanie posiela tretej strane na analýzu, o ktorej ste netušili.
Ak firma odpovie s omeškaním, mlčí, alebo tvrdí, že vaše dáta nemá, hoci viete, že ich má, nasleduje druhý krok. Sťažnosť na Úrad na ochranu osobných údajov Slovenskej republiky sa dá podať online, zadarmo, bez právneho zastúpenia. Úrad si firmu preverí a v prípade porušenia môže uložiť pokutu, ktorá sa počíta v desiatkach či stovkách tisíc eur, podľa závažnosti prípadu a veľkosti firmy.
Prečo to má zmysel robiť aj bez konkrétneho podozrenia
Nie je nutné čakať na to, že vás niekto podviedol alebo že unikli vaše dáta pri hackerskom útoku. Žiadosť o výpis funguje aj ako preventívna hygiena, podobne ako kontrola bankového výpisu. Občas sa ukáže, že firma, s ktorou ste už roky neobchodovali, si vás stále drží v databáze, posiela vaše údaje partnerom, o ktorých existencii ste ani netušili, alebo uchováva citlivé informácie dávno po tom, čo mala zákonnú povinnosť ich vymazať.
Spolu so žiadosťou o výpis existuje aj právo na vymazanie, takzvané právo byť zabudnutý. Ak firma nemá zákonný dôvod dáta ďalej držať, napríklad účtovnú alebo inú zákonom danú lehotu, musí ich na požiadanie zmazať. V praxi to znamená, že po jednom emaile môžete zmiznúť z databázy firmy, s ktorou ste sa rozišli, ale ktorá si na vás stále pamätá lepšie, než by ste čakali.
Nikto vám za to nedá medailu a firma sa vám za obťažovanie nepoďakuje. Ale je rozdiel medzi tým, že o svojich dátach len počúvate v správach, a tým, že raz za čas si sami overíte, čo o vás niekde v serverovni leží. Ten jeden email trvá päť minút. Odpoveď, ktorá príde, môže byť prekvapivo poučná.