Администраторите трябва да отговарят без неоправдано забавяне и най-късно в рамките на един месец от получаване на искането или в рамките на един месец от получаване на всяка информация, поискана за потвърждаване на самоличността на заявителя
Службата на британския комисар по информацията (ICO) предприе действия срещу седем организации, които не са успели да отговорят на запитване какви лични данни съхраняват, известно като искане за достъп от субект на данните (SAR).
На SAR трябва да се отговори в рамките на един до три месеца. Но разследване на ICO установява, че седем организации, в публичния и частния сектор, многократно не са успели да спазят този законов срок. Това довежа до регулаторни действия, включително порицания, както и практически препоръки, издадени съгласно Закона за свобода на информацията от 2000 г. (FOIA).
Комисарят по информацията Джон Едуардс каза:
„SARs и исканията, направени съгласно FOIA, са основни права и са основен портал за достъп до други права. Възможността да попитате организация „каква информация имате за мен?“ и „как се използва?“ осигурява прозрачност и отчетност и позволява на лицето да поиска да бъдат направени промени или дори информацията да бъде изтрита.
Седемте организации са идентифицирани след поредица от жалби във връзка с многобройни откази да отговорят на искания за копия на лична информация, събрана и обработена от тези организации, в рамките на законоустановените срокове или изобщо. Както и задържане на информация, което нарушава UK GDPR и Закона за защита на данните.
Някои от оплакванията, цитирани от ICO, са свързани с достъп до лично досие на кандидат-осиновител, жалба от адвокат за искане във връзка с молба за убежище, включваща дете, както и човек, чието електронно досие е изгубено поради кибератака, а оригиналният хартиен файл е унищожен преди това, „така че нямам достъп до личните си данни, свързани с детството ми“.
Ето един от примерите: „Поисках повторно задаване на парола и имейлът, на който беше изпратен, не беше мой. Подчертах това веднага щом можах и ми казаха, че греша. След това накарах някой да създаде акаунти за онлайн игри на мое име следващата седмица. В крайна сметка успях да стигна до правилния екип и те го смениха. Не трябва да отнема толкова много усилия на клиент, за да промени нещо толкова просто и като клиент не трябва да обяснявам на съветник какво е SAR и след това да го преследвам няколко пъти.“
„През януари направих SAR. През март получих писмено потвърждение, че SAR се извършва. Все още обаче не съм получил информацията.” След като им беше казано, че забавянето може да повлияе на кредитния рейтинг на жалбоподателите, те продължиха: „Чувствам се безсилие и стрес..“.
„Забавянето на предоставянето на тази информация във връзка с обвиненията срещу мен застрашава способността ми да се защитавам и рискува цялата ми кариера.“
В резултат на това ICO предприе регулаторни действия срещу следните организации:
Министерство на отбраната (MO)
На МО е направена забележка след идентифицирано натрупване на SAR, датиращо от март 2020 г. Въпреки създаването на план за възстановяване, това натрупване продължава да расте и в момента възлиза на 9 000 искания на SAR, на които все още не е отговорено. Това означава, че средно хората са чакали повече от 12 месеца за своята информация.
Министерство на вътрешните работи
Направена е забележка на Министерството на вътрешните работи след разследвания, които показват, че между март 2021 г. и ноември 2021 г., те имат значителен архив от SAR, възлизащ на малко под 21 000, на които не беше отговорено през законоустановения срок. Жалбите до ICO показаха, че заявителите са претърпели значителни затруднения в резултат на това. Към юли 2022 г. има малко над 3000 без отговор SAR извън законовия срок.
Лондонски квартал Кройдън
Разследване разкрива, че от април 2020 г. до април 2021 г. съветът на лондонския квартал Кройдън е отговорил на по-малко от половината от техните SARs в законоустановените срокове. Това означава, че 115 жители не са получили отговор в съответствие с UK GDPR. Освен това от юни 2021 г. ICO е издала 27 известия за решения съгласно FOIA, свързани с неуспеха на Съвета да отговори на искания за информация. Наложени са им мерки за забележка, както и практическа препоръка съгласно нашия обновен подход към регулирането на свободата на информацияза неспазване на законоустановените срокове за отговор.
Кентска полиция
От октомври 2020 г. до февруари 2021 г. полицията на Кент получава над 200 SARs, 60% са изпълнени в рамките на законоустановения краен срок. Въпреки това се съобщава, че на някои от останалите искания отнема повече от 18 месеца, за да получат отговор. Към май 2022 г. над 200 SAR остават просрочени. Направена е забележка.
Лондонски квартал Хакни
За периода от април 2020 г. до февруари 2021 г. лондонският квартал Хакни не е отговорил на над 60% от SARs, изпратени до тях в законоустановения срок. Най-старото искане е опреди 23 месеца. След това им е наложена забележка, както и препоръка.
Лондонски квартал Ламбет
Лондонският квартал Ламбет е отговорил само на 74% от SAR, които е получил в законоустановените срокове от 1 август 2020 г. до 11 август 2021 г. или 268 искания. Съветът продължава да има натрупани случаи на SAR и, въз основа на актуализираните цифри, не изглежда да се подобрява. Наложени са им мерки за забележка.
Virgin Media
За период от 6 месеца през 2021 г. Virgin Media получава над 9500 SAR. На 14% от тях не е отговорено в законоустановения срок. Въпреки това, тяхното съответствие през 2022 г. отбеляза подобрения. Направена е забележка.
Тези организации имат между три и шест месеца, за да направят подобрения или могат да бъдат предприети допълнителни действия за прилагане.
Комисарят Джон Едуардс отбелязва:
„Ние ще продължим да подкрепяме организациите да изпълняват задълженията си към физически лица. В допълнение към предоставянето на обучение на хората относно техните права. Това включва разработване на SAR генератор, за да помогне на хората да идентифицират къде е вероятно да се съхранява тяхната лична информация и как да я поискат, едновременно с предоставянето на информация на организацията относно това какво се изисква от тях.
„Очакваме всички искания за информация да бъдат обработени по подходящ начин и своевременно. Това насърчава общественото доверие и увереност и гарантира, че организациите остават на правилната страна на закона.“
SAR е искане, направено от или от името на физическо лице за информацията, която те имат право да поискат съгласно член 15 от GDPR на Обединеното кралство.
Ако искате да научите повече за SAR и как най-добре да се справите с тях, посетете нашия уебсайт или прочетете последния ни блог.
Организациите трябва да отговорят на SAR без неоправдано забавяне и най-късно в рамките на един месец от получаване на искането или в рамките на един месец от получаване на всяка информация, поискана за потвърждаване на самоличността на заявителя или такса.