GDPR — права на субекта на лични данни в България

Регламент (ЕС) 2016/679, по-известен като GDPR (General Data Protection Regulation), влезе в сила на 25 май 2018 г. и представлява най-съществената промяна в законодателството за защита на личните данни от десетилетия. Този регламент има пряко действие във всички държави членки на Европейския съюз, включително и в България, замествайки дотогавашните национални закони за защита на личните данни и Директива 95/46/ЕО. Целта на GDPR е да хармонизира правилата за защита на личните данни в целия Европейски съюз, като същевременно предостави на гражданите по-голям контрол върху собствената им информация. В свят, в който дигитализацията е навсякъде, а личните данни са ценна стока, разбирането на правата, които GDPR дава, е от съществено значение за всеки гражданин на Република България.

Защитата на личните данни не е просто формалност, а конституционно право, залегнало в чл. 32, ал. 1 от Конституцията на Република България, което гласи: „Никой не може да бъде следен, фотографиран, филмиран, записван или подлаган на други подобни действия без негово знание или въпреки изричното му несъгласие, освен в предвидените от закона случаи.” GDPR развива тази защита, като я привежда в съответствие с предизвикателствата на модерния цифров свят.

Какво представляват личните данни според GDPR?

Преди да навлезем в детайлите на правата, е важно да уточним какво точно се счита за лични данни. Съгласно чл. 4, ал. 1 от GDPR, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

На практика това включва широк кръг от информация: имена, ЕГН, адрес, имейл адрес, телефонен номер, IP адрес, cookie ID, данни за геолокация, снимки, видеозаписи, данни за финансово състояние, данни за здравословно състояние, политически възгледи, религиозни убеждения, членство в синдикати, сексуална ориентация и много други.

Правна рамка — GDPR

Защитата на личните данни в България се урежда от комплексно законодателство, което включва както европейски, така и национални нормативни актове.

Основни нормативни актове:

Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните - ОРЗД / GDPR). Този регламент е с пряко приложение и не изисква транспониране в националното законодателство.
Закон за защита на личните данни (ЗЗЛД). Този закон е основният национален акт, който допълва и прецизира разпоредбите на GDPR, когато това е позволено от регламента. ЗЗЛД урежда създаването и дейността на Комисията за защита на личните данни, както и специални правила за обработка на данни в специфични контексти, например за национална сигурност, обществена безопасност и др.
Комисия за защита на личните данни (КЗЛД) – Това е независим надзорен орган в България, който следи за спазването на GDPR и ЗЗЛД. КЗЛД разглежда жалби, налага санкции и предоставя методически указания.

Ключови разпоредби от GDPR, свързани с правата на субекта на данни:

Член 12: Прозрачна информация, комуникация и ред за упражняване на правата на субекта на данни.
Член 13 и 14: Информация, която да се предостави при събиране на лични данни от субекта на данни и когато личните данни не са получени от субекта на данни.
Член 15: Право на достъп на субекта на данни.
Член 16: Право на коригиране.
Член 17: Право на изтриване („право да бъдеш забравен“).
Член 18: Право на ограничаване на обработването.
Член 19: Задължение за уведомяване относно коригиране или изтриване на лични данни или ограничаване на обработването.
Член 20: Право на преносимост на данните.
Член 21: Право на възражение.
Член 22: Право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране.
Член 77: Право на подаване на жалба до надзорен орган.
Член 78: Право на ефективно съдебно производство срещу надзорен орган.
Член 79: Право на ефективно съдебно производство срещу администратор или обработващ лични данни.

Основни права на субекта на лични данни

GDPR дефинира редица ключови права, които гарантират на физическите лица контрол върху техните лични данни.

1. Право на информация (чл. 13 и 14 от GDPR)

Преди или по време на събирането на лични данни, администраторът е длъжен да предостави на субекта на данни ясна, разбираема и лесно достъпна информация относно:

Самоличността и данните за контакт на администратора и, когато е приложимо, на неговия представител.
Данните за контакт на длъжностното лице по защита на данните (ДЛЗД/DPO), ако такова е назначено.
Целите, за които се обработват личните данни, както и правното основание за обработването.
Законните интереси, преследвани от администратора или от трета страна, ако обработването се основава на чл. 6, параграф 1, буква „е“ от GDPR.
Получателите или категориите получатели на личните данни.
Всяко намерение на администратора да прехвърли лични данни на трета държава или международна организация.
Срока, за който ще се съхраняват личните данни, или ако това е невъзможно, критериите, използвани за определянето на този срок.
Съществуването на право на достъп до личните данни, на коригиране, изтриване, ограничаване на обработването, възражение срещу обработването и на преносимост на данните.
Съществуването на право на оттегляне на съгласието по всяко време (когато обработването се основава на съгласие).
Правото на подаване на жалба до надзорен орган (КЗЛД).
Дали предоставянето на лични данни е законово или договорно изискване, или изискване, необходимо за сключването на договор, както и дали субектът на данни е длъжен да предостави личните данни и какви са възможните последици, ако тези данни не бъдат предоставени.
Съществуването на автоматизирано вземане на индивидуални решения, включително профилиране, и съществена информация за използваната логика, както и значението и предвидените последствия от това обработване за субекта на данни.

2. Право на достъп (чл. 15 от GDPR)

Субектът на данни има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация:

Целите на обработването.
Категориите лични данни, които се обработват.
Получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни.
Срока, за който ще се съхраняват личните данни.
Съществуването на право да се иска от администратора коригиране или изтриване на лични данни или ограничаване на обработването на лични данни, свързани със субекта на данни, или право на възражение срещу такова обработване.
Правото на подаване на жалба до надзорен орган.
Когато личните данни не са събрани от субекта на данни, всякаква налична информация за техния източник.
Съществуването на автоматизирано вземане на индивидуални решения, включително профилиране, и съществена информация за използваната логика, както и значението и предвидените последствия от това обработване за субекта на данни.

Администраторът е длъжен да предостави копие от обработваните лични данни. За всякакви допълнителни копия администраторът може да наложи разумна такса въз основа на административните разходи. Когато субектът на данни подава искане по електронен път, информацията се предоставя в широко използван електронен формат, освен ако субектът на данни не е поискал друго.

3. Право на коригиране (чл. 16 от GDPR)

Субектът на данни има право да поиска от администратора без ненужно забавяне коригиране на неточни лични данни, свързани с него. Като се имат предвид целите на обработването, субектът на данни има право непълните лични данни да бъдат попълнени, включително чрез добавяне на декларация.

4. Право на изтриване („право да бъдеш забравен“) (чл. 17 от GDPR)

Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие тези данни без ненужно забавяне, когато е приложимо някое от следните основания:

Личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин.
Субектът на данни оттегля съгласието, на което се основава обработването, и няма друго правно основание за обработването.
Субектът на данни възразява срещу обработването и няма законни основания за обработването, които да имат преимущество.
Личните данни са били обработвани незаконосъобразно.
Личните данни трябва да бъдат изтрити с цел спазване на правно задължение по правото на Съюза или правото на държава членка, което се прилага спрямо администратора.
Личните данни са били събрани във връзка с предлагането на услуги на информационното общество на дете.

Правото на изтриване не е абсолютно и има изключения, например ако обработването е необходимо за упражняване на правото на свобода на изразяване и информация, за спазване на законово задължение или за установяването, упражняването или защитата на правни претенции.

5. Право на ограничаване на обработването (чл. 18 от GDPR)

Субектът на данни има право да изиска от администратора ограничаване на обработването, когато е приложимо едно от следните:

Точността на личните данни се оспорва от субекта на данни, за срок, който позволява на администратора да провери точността на личните данни.
Обработването е неправомерно, но субектът на данни не желае изтриване на личните данни, а вместо това изисква ограничаване на използването им.
Администраторът не се нуждае повече от личните данни за целите на обработването, но субектът на данни ги изисква за установяването, упражняването или защитата на правни претенции.
Субектът на данни е възразил срещу обработването в очакване на проверка дали законните основания на администратора имат преимущество пред тези на субекта на данни.

Когато обработването е ограничено, тези лични данни могат да се обработват, с изключение на съхраняването им, единствено със съгласието на субекта на данни или за установяването, упражняването или защитата на правни претенции, или за защита на правата на друго физическо или юридическо лице, или по важни причини от обществен интерес за Съюза или държава членка.

6. Право на преносимост на данните (чл. 20 от GDPR)

Субектът на данни има право да получи личните данни, които го засягат и които той е предоставил на администратор, в структуриран, широко използван и пригоден за машинно четене формат, и има правото да прехвърли тези данни на друг администратор без възпрепятстване от администратора, на когото личните данни са предоставени, когато:

Обработването се основава на съгласие или на договорно задължение.
Обработването се извършва по автоматизиран начин.

При упражняване на правото си на преносимост на данните, субектът на данни има право да поиска пряко прехвърляне на личните данни от един администратор към друг, когато това е технически осъществимо.

7. Право на възражение (чл. 21 от GDPR)

Субектът на данни има право по всяко време и на основания, свързани с конкретната му ситуация, да възрази срещу обработване на лични данни, отнасящи се до него, основаващо се на чл. 6, параграф 1, буква „е“ (обработване, необходимо за целите на законните интереси на администратора или на трета страна) или буква „д“ (обработване, необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, предоставени на администратора). Администраторът преустановява обработването на личните данни, освен ако не докаже съществуването на убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции.

Когато лични данни се обработват за целите на директния маркетинг, субектът на данни има право по всяко време да възрази срещу обработване на лични данни, отнасящи се до него, за целите на такъв маркетинг. При възразяване срещу обработване за целите на директния маркетинг, личните данни престават да бъдат обработвани за тези цели.

8. Право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране (чл. 22 от GDPR)

Субектът на данни има право да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за него или по подобен начин го засяга в значителна степен. Това право не се прилага, ако решението е:

Необходимо за сключването или изпълнението на договор между субекта на данни и администратор.
Разрешено от правото на Съюза или правото на държава членка, което се прилага спрямо администратора и което предвижда също така подходящи мерки за защита на правата и свободите, и законните интереси на субекта на данни.
Основано на изричното съгласие на субекта на данни.

В случаите по първите две точки, администраторът предприема подходящи мерки за защита на правата и свободите, и законните интереси на субекта на данни, най-малко правото на човешка намеса от страна на администратора, правото да изрази гледната си точка и да оспори решението.

Стъпки и процедура за упражняване на правата

Упражняването на правата по GDPR изисква конкретни действия от страна на субекта на данни.

1. Идентифициране на администратора на лични данни

Първата стъпка е да установите кой е администраторът на личните данни, които искате да коригирате, изтриете или достъпите. Тази информация обикновено е налична в политиката за поверителност или общите условия на съответната фирма, уебсайт или услуга.

2. Подаване на писмено искане

Правата се упражняват чрез писмено искане до администратора на лични данни. Искането може да бъде изпратено по един от следните начини:

По поща с обратна разписка.
Чрез куриерска служба.
По електронен път – на официален имейл адрес на администратора, често посочен за въпроси относно лични данни. Препоръчително е да се използва електронно подписан документ, ако администраторът изисква такава форма за сигурност, но не е задължително съгласно GDPR за обикновени искания.
Лично – в офис на администратора срещу входящ номер.

Важно: Администраторът трябва да гарантира, че личните данни не се разкриват на неоторизирани лица. Затова той може да поиска допълнителна информация за потвърждаване на самоличността на заявителя.

3. Съдържание на искането

В искането е важно ясно да се посочи:

Име и фамилия, адрес за кореспонденция (имейл адрес).
Конкретното право, което желаете да упражните (напр. „искане за достъп до лични данни“, „искане за изтриване на лични данни от [име на услугата]“).
Отношението Ви с администратора (клиент, служител, посетител на уебсайт и т.н.).
Всякаква допълнителна информация, която може да помогне на администратора да локализира Вашите данни (напр. клиентски номер, номер на поръчка, конкретен имейл, с който сте се регистрирали).
Предпочитан формат за получаване на информацията (ако е приложимо).
Дата и подпис.

4. Отговор от администратора

Администраторът е длъжен да предостави информация относно действията, предприети по искането, без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. Този срок може да бъде удължен с още два месеца, когато е необходимо, като се взема предвид сложността и броя на исканията. Администраторът уведомява субекта на данни за всяко такова удължаване в срок от един месец от получаване на искането, като посочва и причините за забавянето.

Ако администраторът не предприеме действия по подаденото искане, той информира субекта на данни без забавяне и най-късно до един месец от получаване на искането за причините да не предприеме действия и за възможността за подаване на жалба до надзорен орган (КЗЛД) и търсене на съдебна защита.

Информацията по искането се предоставя безплатно. Когато исканията са явно неоснователни или прекомерни, по-специално поради повтаряемостта им, администраторът може или: а) да наложи разумна такса, като вземе предвид административните разходи за предоставяне на информацията или комуникацията или предприемането на исканите действия; или б) да откаже да предприеме действия по искането.

5. Подаване на жалба до КЗЛД

Ако администраторът не отговори на искането в срок, откаже да удовлетвори искането, или отговорът не е задоволителен, субектът на данни има право да подаде жалба до Комисията за защита на личните данни (КЗЛД). Жалбата може да се подаде по електронен път чрез системата ЕССГ, по поща или лично в деловодството на КЗЛД.

В жалбата трябва да се изложи конкретния казус, да се посочи кои права са нарушени и да се приложат всички относими документи (копия от кореспонденция с администратора, доказателства за обработване на данни и др.).

6. Съдебна защита

Без да се засягат останалите административни или съдебни средства за правна защита, всеки субект на данни има право на ефективна съдебна защита, ако смята, че правата му по GDPR са нарушени в резултат на обработване на личните му данни, което не е в съответствие с регламента. Съдебните искове могат да бъдат насочени както срещу надзорен орган (ако решението му не е задоволително), така и директно срещу администратор или обработващ лични данни.

Необходими документи

За да упражните правата си, обикновено ще са Ви необходими следните документи:

Писмено искане – попълнен формуляр (ако администраторът предоставя стандартен такъв) или свободно съставен текст, съдържащ цялата необходима информация.
Копие от документ за самоличност (опционално/по искане) – администраторът може да поиска копие на документ за самоличност за целите на верификация, но това трябва да се прави само когато има основателни съмнения относно самоличността на заявителя и да не пречи ненужно на упражняването на правата. Обикновено е достатъчна декларация, че предоставените данни са верни и да се представят данни, по които може да бъдете идентифициран в системите на администратора.
Пълномощно – ако искането се подава от упълномощено лице.
Доказателства за комуникация с администратора – при подаване на жалба до КЗЛД, приложете копия от изпратени искания и получени отговори (или липса на такива).

Срокове

Действие	Срок	Забележки
Отговор от администратора на искане на субект на данни	1 месец	Може да бъде удължен с още 2 месеца при уведомяване на субекта на данни.
Срок за уведомяване на субекта на данни при удължаване на срока за отговор	1 месец от получаване на първоначалното искане	С посочване на причините за удължаването.
Срок за уведомяване на субекта на данни за причините за бездействие/отказ	1 месец от получаване на искането	Включва информация за право на жалба до КЗЛД.
Подаване на жалба до КЗЛД	Няма строго определен срок, но е препоръчително това да стане в разумен срок след нарушението или отказа.	КЗЛД може да откаже да разгледа жалба, ако нарушението е настъпило преди много време.

Такси и разходи

Като общо правило, упражняването на правата съгласно GDPR е безплатно.

Администраторът може да наложи разумна такса или да откаже да предприеме действия по изрично неоснователни или прекомерни искания, особено поради повтарящия се характер. Такива такси трябва да бъдат 'разумни' и да отразяват административните разходи за предоставяне на информацията или комуникацията, или предприемането на исканите действия. В България няма фиксирани такси за такива случаи, но те трябва да бъдат обосновани и пропорционални на действителните разходи.

При подаване на жалба до КЗЛД не се дължат държавни такси. Разходите, които бихте могли да понесете, са свързани само евентуално с изпращане на документи по поща или куриер.

При търсене на съдебна защита, вече се дължат държавни такси и адвокатски възнаграждения съгласно българското процесуално законодателство.

За субекта на данни:

Права: На информация, достъп, коригиране, изтриване, ограничаване, преносимост, възражение, да не бъде обект на автоматизирано вземане на решения.
Задължения: Да идентифицира ясно администратора, да формулира конкретно искането, да предоставя необходима информация за идентификация при поискване.

За администратора на лични данни:

Права: Да изисква уточняване на искането, да отказва неоснователни/прекомерни искания (с мотиви), да изисква разумна такса за такива искания.
Задължения: Да отговори на искането в законоустановения срок, да предостави информацията безплатно (освен в изключения), да предприеме мерки за защита на данните, да уведоми КЗЛД при необходимост.

важни уточнения за защита на личните данни

Винаги четете политиката за поверителност: Преди да предоставите лични данни на който и да е уебсайт, приложение или услуга, отделете време да прочетете политиката за поверителност. Тя ще ви информира какви данни се събират, за какво се използват и с кого се споделят.
Използвайте силни и уникални пароли: Защитавайте своите онлайн акаунти със сложни пароли и двуфакторна автентикация, където е възможно.
Бъдете внимателни с имейли и съобщения „фишинг“: Не отваряйте подозрителни връзки и не предоставяйте лична информация в отговор на неочаквани имейли или съобщения, които изискват такива данни.
Преглеждайте настройките за поверителност: Редовно проверявайте настройките за поверителност на социалните мрежи, приложенията и онлайн услугите, които използвате. Ограничете споделянето на данни до минимум.
Помислете преди да споделите: Всяка информация, която публикувате онлайн, може да остане там завинаги. Бъдете внимателни какво споделяте публично.
Използвайте VPN: Виртуална частна мрежа може да криптира интернет трафика ви и да скрие IP адреса ви, осигурявайки по-голяма анонимност онлайн.
Разгледайте правата си по GDPR: Знайте, че имате право да знаете как се обработват данните Ви, да ги коригирате, изтривате или да възразите срещу тяхното обработване.
Използвайте инструменти за блокиране на тракери: Много браузъри предлагат разширения, които блокират проследяващи бисквитки и други механизми за събиране на данни.
Бъдете информирани: Следете актуалните новини и промени в законодателството за защита на личните данни. КЗЛД публикува редовно указания и становища.

Често допускани грешки при упражняване на правата по GDPR

Неясно или непълно искане: Липсата на конкретика относно желаното право или недостатъчна информация за идентифициране може да забави или възпрепятства обработката на искането.
Неправилно адресиране: Искането е изпратено до грешен администратор или до общ имейл адрес, който не се използва за обработка на такива запитвания. Винаги търсете данни за контакт с ДЛЗД или отдел „Защита на данни“.
Липса на доказателство за изпращане/получаване: При подаване по поща без обратна разписка или по имейл без проследяване, трудно може да се докаже, че искането е изпратено и получено.
Бързане с жалба до КЗЛД: Субектите на данни понякога подават жалба до КЗЛД, преди да са изчакали законовия срок за отговор от администратора или преди да са направили опит за директна комуникация.
Очакване на моментален отговор: Законовият срок от един месец е максимален, но трябва да се даде възможност на администратора да обработи искането.
Неразбиране на изключенията: Въпреки широкия обхват, някои права имат изключения. Например, правото да бъдеш забравен не е абсолютно, ако обработването е необходимо за спазване на законово задължение.
Предоставяне на ненужна лична информация: При верификация на самоличността, предоставете само необходимата информация. Не изпращайте повече лични данни, отколкото е разумно изискуемо.

1. Кой е Комисията за защита на личните данни (КЗЛД) и каква е нейната роля?

КЗЛД е независим държавен орган в България, който следи за спазването на Закона за защита на личните данни (ЗЗЛД) и Общия регламент относно защита на данните (GDPR). Нейната роля включва разглеждане на жалби от граждани, провеждане на проверки на администратори на лични данни, налагане на административни наказания (глоби) при нарушения, предоставяне на консултации и становища, както и популяризиране на правата и задълженията, свързани със защитата на личните данни. КЗЛД е Вашата основна институция за защита, ако смятате, че правата Ви по GDPR са нарушени в България.

2. Мога ли да оттегля съгласието си за обработване на лични данни по всяко време?

Да, ако обработването на Вашите лични данни се основава на съгласие, Вие имате право да оттеглите това съгласие по всяко време, без това да засяга законосъобразността на обработването, основано на съгласие, преди неговото оттегляне (чл. 7, параграф 3 от GDPR). Оттеглянето на съгласието трябва да бъде толкова лесно, колкото и даването му. След оттегляне на съгласието, администраторът е длъжен да преустанови обработването на Вашите данни за целите, за които е било дадено съгласието, освен ако няма друго правно основание за продължаване на обработването.

3. Каква е разликата между администратор и обработващ лични данни?

Администратор на лични данни (controller) е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни (чл. 4, ал. 7 от GDPR). Например, това е фирмата, която събира Ваши данни, за да Ви продаде продукт.

Обработващ лични данни (processor) е физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора (чл. 4, ал. 8 от GDPR). Той действа по указания на администратора. Пример за обработващ е фирма, която предоставя хостинг услуги за уебсайт, или счетоводна къща, която обработва данни на служители на друга фирма.

И двата субекта имат задължения по GDPR, но администраторът носи основната отговорност за законосъобразното обработване.

4. Какво се случва, ако администратор откаже да изпълни мое право?

Ако администраторът откаже да изпълни Ваше искане или не предприеме действия по него в законоустановения срок (един месец, удължен с максимум още два месеца), той трябва да Ви информира за причините за своето бездействие/отказ и за възможността да подадете жалба до Комисията за защита на личните данни (КЗЛД), както и да търсите съдебна защита. В този случай, след като изчакате законовия срок и получите отрицателен отговор (или липса на такъв), Вие имате право да подадете жалба до КЗЛД, описвайки казуса и прилагайки съответната кореспонденция.

5. Мога ли да поискам моите данни да бъдат изтрити от търсачки като Google?

Да, това е част от „правото да бъдеш забравен“ (right to erasure – чл. 17 от GDPR). Вие можете да подадете искане до съответната търсачка (администратор на данни) да премахне връзки към страници, съдържащи Ваши лични данни, ако тези данни вече не са необходими за целите, за които са събрани, или ако са обработвани незаконосъобразно, или ако сте оттеглили съгласието си. Обикновено търсачките имат специални формуляри за такива искания. Google, например, предлага такъв формуляр. премахването на връзка от търсачката не означава изтриване на съдържанието от оригиналния уебсайт, а само деиндексирането му.

6. Колко дълго могат да се съхраняват моите лични данни?

GDPR налага принцип на „ограничение на съхранението“ (storage limitation), което означава, че личните данни трябва да се съхраняват във форма, която позволява идентифицирането на субектите на данни за период, не по-дълъг от необходимото за целите, за които се обработват личните данни. Няма универсален срок за съхранение. Той зависи от конкретната цел на обработването. Например, данни за данъчни цели могат да се съхраняват 5-10 години, данни за кандидат за работа – до няколко месеца, данни за абонамент за бюлетин – до оттегляне на съгласието. Администраторите са длъжни да имат ясни политики за съхранение и унищожаване на данни.

7. Какво е профилиране и какви са правата ми във връзка с него?

Профилирането представлява всякаква форма на автоматизирано обработване на лични данни, изразяващо се в използването на лични данни за оценяване на определени лични аспекти, свързани с физическо лице, и по-конкретно за анализиране или прогнозиране на аспекти, отнасящи се до изпълнение на професионални задължения на това физическо лице, до неговото икономическо състояние, здраве, лични предпочитания, интереси, надеждност, поведение, местоположение или движение (чл. 4, ал. 4 от GDPR).

Вие имате право да не бъдете обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за Вас или Ви засяга по подобен начин в значителна степен, освен в изрично предвидените в чл. 22 от GDPR случаи. В тези случаи Вие имате право на човешка намеса, право да изразите гледната си точка и да оспорите решението.

Познаването и активното упражняване на правата по GDPR е ключово за всеки гражданин в България. В условията на все по-разрастваща се дигитализация и обмен на информация, личната неприкосновеност е ценност, която трябва да бъде отстоявана. Бъдете информирани, бдете над своите данни и не се колебайте да потърсите защита, когато е необходимо.

Виж още по темата: Жалба до КЗЛД за нарушение с лични данни — процедура — Жалба до КЗЛД: Практическа информация за процедурата при нарушение на лични данни по GDPR. Проверете как да подадете ефективна жалба.