Theo Quy định Bảo vệ Dữ liệu Chung (GDPR) và Đạo luật Bảo vệ Dữ liệu năm 2018, mọi cá nhân đều có quyền truy cập dữ liệu cá nhân do bên kiểm soát dữ liệu lưu giữ về họ. Quyền này được thực hiện thông qua Yêu cầu Truy cập Chủ thể (SAR).

Tại Angelov Solicitors, chúng tôi giúp khách hàng lập, xem xét và phản đối các Yêu cầu Truy cập Chủ thể, bao gồm các yêu cầu gửi tới Bộ Nội vụ, người sử dụng lao động, cơ quan công và tổ chức tư nhân.

Yêu cầu truy cập chủ thể (SAR) là gì?

SAR là yêu cầu do một cá nhân (chủ thể dữ liệu) đưa ra để xin bản sao dữ liệu cá nhân của họ do một tổ chức (bên kiểm soát dữ liệu) nắm giữ.

Không có yêu cầu chính thức nào về cách thức lập Báo cáo Đánh giá Rủi ro (SAR). Báo cáo có thể được nộp theo cách sau:

• Bằng lời nói (ví dụ, trong một cuộc họp hoặc cuộc gọi điện thoại); hoặc
• Bằng văn bản (qua email hoặc bưu điện).

Không cần phải ghi nhãn "SAR" mới hợp lệ, bất kỳ yêu cầu thông tin cá nhân rõ ràng nào cũng đủ. Các tổ chức phải đào tạo nhân viên để nhận biết những yêu cầu như vậy và phản hồi kịp thời.

Để được hướng dẫn chính thức, hãy truy cập Văn phòng Ủy viên Thông tin. 

Quyền bảo vệ dữ liệu của bạn theo GDPR

Cá nhân có nhiều quyền đối với dữ liệu cá nhân của mình, bao gồm:

• Quyền được thông tin – dữ liệu của bạn được sử dụng như thế nào và tại sao.
• Quyền truy cập – để lấy bản sao dữ liệu của bạn.
• Quyền sửa chữa – để sửa dữ liệu không chính xác hoặc không đầy đủ.
• Quyền xóa bỏ (“quyền được lãng quên”) - xóa dữ liệu trong một số trường hợp nhất định.
• Quyền hạn chế xử lý – để hạn chế cách sử dụng dữ liệu của bạn.
• Quyền chuyển dữ liệu – để nhận dữ liệu của bạn ở định dạng có thể chuyển nhượng.
• Quyền phản đối – đối với một số loại xử lý dữ liệu nhất định, chẳng hạn như tiếp thị.
• Quyền liên quan đến việc ra quyết định tự động và lập hồ sơ.

Quy tắc chính cho các yêu cầu truy cập chủ đề

1. Miễn phí (Trừ một số trường hợp giới hạn)

SAR thường miễn phí. Phí chỉ được yêu cầu nếu SAR rõ ràng là vô căn cứ hoặc quá mức, tức là ngưỡng rất cao. Ngay cả khi đó, phí vẫn phải hợp lý và phản ánh được chi phí hành chính.

2. “Khoảng thời gian hợp lý”

Cá nhân có thể thực hiện SAR theo định kỳ hợp lý. Các yêu cầu lặp lại trong thời gian ngắn có thể bị từ chối nếu không có thông tin mới.

3. Xác minh danh tính

Trước khi công bố dữ liệu, các tổ chức phải thực hiện các bước hợp lý để xác minh danh tính. Nếu người đại diện (chẳng hạn như luật sư) đưa ra yêu cầu, phải cung cấp giấy ủy quyền bằng văn bản.

4. Cung cấp bản sao dữ liệu cá nhân

Quyền truy cập có nghĩa là nhận được bản sao thực tế về dữ liệu cá nhân của bạn, không chỉ là bản tóm tắt.

5. Các bản sao tiếp theo

Bản sao đầu tiên phải được cung cấp miễn phí. Các tổ chức có thể tính một khoản phí hợp lý cho các bản sao tiếp theo.

6. Làm rõ cho các tập dữ liệu lớn

Khi xử lý khối lượng dữ liệu lớn, bộ điều khiển có thể yêu cầu người yêu cầu thu hẹp phạm vi, ví dụ: theo các ứng dụng, giai đoạn hoặc loại tài liệu cụ thể.

Yêu cầu của đại diện

Cá nhân có thể ủy quyền cho bên thứ ba (ví dụ: luật sư hoặc thành viên gia đình) lập Báo cáo Đánh giá Rủi ro (SAR) thay mặt mình. Bộ phận kiểm soát dữ liệu phải xác nhận đã có văn bản ủy quyền hợp lệ trước khi phát hành dữ liệu.

Quyền trẻ em ở Scotland

Tại Scotland, trẻ em từ 12 tuổi trở lên thường được coi là có năng lực tự đưa ra quyết định bảo vệ dữ liệu của mình. Nếu phụ huynh đưa ra SAR liên quan đến trẻ em từ 12 tuổi trở lên, tổ chức phải xác nhận rằng trẻ em đồng ý với việc tiết lộ dữ liệu.

Quyền trẻ em ở Anh, xứ Wales và Bắc Ireland

Điều này không áp dụng ở Anh và xứ Wales hoặc Bắc Ireland, nơi năng lực được đánh giá dựa trên mức độ hiểu biết của trẻ, nhưng nó cho thấy một cách tiếp cận hợp lý trong nhiều trường hợp. Trẻ em không nên được coi là có năng lực nếu rõ ràng trẻ đang hành động trái với lợi ích tốt nhất của chính mình.

Sửa đổi dữ liệu sau khi thực hiện SAR

SAR liên quan đến dữ liệu hiện có tại thời điểm yêu cầu. Việc cập nhật hoặc xóa dữ liệu thường xuyên trong quá trình kinh doanh thông thường là chấp nhận được. Tuy nhiên, việc cố ý xóa hoặc che giấu dữ liệu để tránh tiết lộ là một hành vi phạm tội theo điều 173 của Đạo luật Bảo vệ Dữ liệu năm 2018.

Dữ liệu cá nhân của bên thứ ba

Khi phản hồi SAR, thông tin cũng có thể xác định danh tính của những cá nhân khác. Bộ phận kiểm soát phải cân bằng quyền truy cập của người yêu cầu với quyền riêng tư của bên thứ ba. Thông tin của bên thứ ba (ví dụ: tên, thông tin liên lạc) thường phải được biên tập trừ khi việc tiết lộ là hợp pháp hoặc đã được sự đồng ý. Nếu không có sự đồng ý, bộ phận kiểm soát phải đánh giá liệu việc tiết lộ dữ liệu mà không có sự đồng ý có hợp lý hay không, có tính đến tính bảo mật, bản chất của mối quan hệ và khả năng gây hại cho người khác.

Khiếu nại ICO

Theo Điều 165 của Đạo luật Bảo vệ Dữ liệu năm 2018, cá nhân có thể khiếu nại lên Văn phòng Ủy viên Thông tin (ICO) nếu họ tin rằng quyền bảo vệ dữ liệu của mình đã bị xâm phạm. Bạn có thể khiếu nại qua liên kết này.

Ủy viên Thông tin có thể áp dụng hình phạt tiền đối với bất kỳ hành vi không tuân thủ bất kỳ nguyên tắc bảo vệ dữ liệu nào, bất kỳ quyền nào mà một cá nhân có thể có theo Phần 3 hoặc liên quan đến bất kỳ việc chuyển giao dữ liệu nào sang các nước thứ ba. Mức phạt tối đa cao hơn lên đến 17,5 triệu bảng Anh hoặc 4% doanh thu toàn cầu, tùy theo mức nào cao hơn. Nếu có hành vi vi phạm các điều khoản khác, chẳng hạn như các yêu cầu hành chính của luật, mức phạt tối đa tiêu chuẩn sẽ được áp dụng, là 8,7 triệu bảng Anh hoặc 2% tổng doanh thu toàn cầu hàng năm trong năm tài chính trước đó, tùy theo mức nào cao hơn.

Yêu cầu tiếp cận chủ thể tới Bộ Nội vụ để xin đơn xin nhập cư

Nếu trước đây bạn đã nộp đơn xin nhập cư hoặc thị thực cho Bộ Nội vụ Vương quốc Anh, bạn có thể yêu cầu quyền truy cập vào hồ sơ đang được lưu giữ về bạn. Hồ sơ này có thể bao gồm bản sao đơn xin, thư từ, ghi chú của nhân viên phụ trách hồ sơ, hồ sơ phỏng vấn, thư quyết định và thông tin sinh trắc học. Bạn có thể gửi Yêu cầu Truy cập Chủ thể trực tiếp thông qua Cổng thông tin trực tuyến của Bộ Nội vụ.

Liên hệ với luật sư của chúng tôi

Tại Angelov Solicitors, chúng tôi có nhiều kinh nghiệm trong việc chuẩn bị và quản lý các Yêu cầu Truy cập Chủ thể cho khách hàng trong cả bối cảnh nhập cư và bảo vệ dữ liệu. Đội ngũ của chúng tôi liên lạc với Bộ Nội vụ, chính quyền địa phương, các tổ chức giáo dục và các bên kiểm soát dữ liệu khác để có được thông tin tiết lộ đầy đủ và chính xác về dữ liệu cá nhân.

Các tổ chức phải phản hồi SAR hợp lệ trong vòng một tháng dương lịch kể từ ngày nhận được. Trong một số trường hợp hạn chế, thời hạn này có thể được gia hạn thêm tối đa hai tháng nếu yêu cầu phức tạp hoặc liên quan đến nhiều nguồn dữ liệu. Chúng tôi theo dõi chặt chẽ các yêu cầu của khách hàng để đảm bảo tuân thủ các khung thời gian theo luật định này. Sau khi nhận được phản hồi, các luật sư của chúng tôi sẽ xem xét tính đầy đủ, chính xác và tuân thủ của thông tin công bố, đồng thời tư vấn các bước tiếp theo nếu tổ chức không cung cấp đầy đủ thông tin liên quan. Khi cần thiết, chúng tôi hỗ trợ chuyển vấn đề lên Văn phòng Ủy viên Thông tin (ICO) hoặc xem xét các biện pháp pháp lý đối với việc không tuân thủ.

Liên hệ với chúng tôi qua 020 8088 2555 hoặc hoàn thành mẫu yêu cầu bên dưới nếu bạn cần thực hiện hoặc phản đối yêu cầu truy cập chủ thể.