Prawo dostępu do danych (SAR)

Prawo dostępu do danych (Subject Access Request — SAR) to uprawnienie osoby fizycznej (art. 15 RODO) do uzyskania od administratora potwierdzenia, czy jej dane osobowe są przetwarzane, a jeśli tak — dostępu do tych danych oraz informacji o: celach przetwarzania, kategoriach danych, odbiorcach, planowanym okresie przechowywania, prawach (sprostowanie, usunięcie, ograniczenie, sprzeciw), prawie do skargi do UODO, źródle danych (jeśli nie od osoby) i zautomatyzowanym podejmowaniu decyzji. Administrator musi udzielić odpowiedzi bez zbędnej zwłoki, nie później niż w ciągu miesiąca (z możliwością przedłużenia o 2 miesiące). Pierwsza kopia danych jest bezpłatna. W kontekście HR: pracownik może zażądać kopii swoich akt osobowych, historii wynagrodzeń, ewidencji czasu pracy, korespondencji dotyczącej jego osoby i danych z systemów informatycznych. Pracodawca musi zbalansować prawo pracownika z ochroną praw osób trzecich (np. autor opinii o pracowniku).

Bez zbędnej zwłoki, max. 1 miesiąc od otrzymania żądania. Termin może być przedłużony o 2 miesiące przy skomplikowanych żądaniach — ale pracodawca musi poinformować o przedłużeniu w ciągu pierwszego miesiąca z podaniem przyczyny.

Pierwsza kopia jest bezpłatna. Za kolejne kopie administrator może pobrać rozsądną opłatę wynikającą z kosztów administracyjnych. Przy żądaniach ewidentnie nieuzasadnionych lub nadmiernych — można odmówić lub pobrać opłatę.

Akta osobowe, historia wynagrodzeń, ewidencja czasu pracy, oceny okresowe, korespondencja e-mail o jego osobie, dane z systemów HR, nagrania monitoringu (jego wizerunek), dane z systemów kontroli dostępu, notatki służbowe dotyczące jego osoby.

Tak — gdy udostępnienie naruszyłoby prawa osób trzecich (np. dane autora anonimowej opinii, dane innych pracowników). Pracodawca musi zanonimizować dane osób trzecich przed udostępnieniem. Nie może odmówić dostępu do własnych danych pracownika.

Procedura: weryfikacja tożsamości żądającego, identyfikacja wszystkich systemów z danymi (HRIS, e-mail, papierowe akta), zebranie danych, anonimizacja danych osób trzecich, przygotowanie kopii w czytelnym formacie, odpowiedź w terminie. Warto mieć szablon.

Powiązane pojęcia

Dane biometryczne pracowników

Inspektor Ochrony Danych (IOD)

Monitoring pracowników

Naruszenie ochrony danych osobowych

Obowiązek informacyjny RODO