Prawo do sprostowania danych umożliwia wszystkim osobom fizycznym złożenie wniosku o korektę lub sprostowanie ich danych osobowych w przypadku, gdy dane te są niedokładne lub zostały przetworzone w niewłaściwy sposób. Może to obejmować uzupełnienie danych, ich usunięcie, zablokowanie lub inne środki lub metody mające na celu usunięcie niedokładności lub zaprzestanie niewłaściwego przetwarzania.

Jeśli właściwy organ kraju otrzymującego dane stwierdzi – na wniosek osoby fizycznej, na skutek zawiadomienia od podmiotu przekazującego informacje osobowe lub w wyniku własnego dochodzenia – że informacje są niedokładne lub zostały niewłaściwie przetworzone, organ ten podejmuje środki w postaci uzupełnienia, usunięcia, zablokowania danych lub inne środki służące korekcie lub sprostowaniu.

Jeśli zezwala na to prawo krajowe, każda osoba fizyczna jest uprawniona do upoważnienia organu nadzoru (tj. krajowego organu ochrony danych właściwego dla osoby w UE, której dane dotyczą) do złożenia w jej imieniu wniosku o dostęp do danych lub ich sprostowanie Ta możliwość bezpośredniego wykonywania praw za pośrednictwem organu i w ramach systemu prawnego, który jest znany osobom, których dane dotyczą, powinna w konkretny sposób ułatwić tym osobom wykonywanie swoich praw.

W przypadku odmowy lub ograniczenia dostępu do danych lub ich sprostowania organ, do którego złożono wniosek, udziela osobie fizycznej (lub jej należycie upoważnionemu przedstawicielowi) odpowiedzi zawierającej powody odmowy lub ograniczenia dostępu do danych lub ich sprostowania. Obowiązek udzielenia osobie fizycznej uzasadnionej odpowiedzi ma na celu umożliwienie i ułatwienie wykonywania jej praw do wniesienia administracyjnych i sądowych środków zaskarżenia w przypadku odmowy lub ograniczenia dostępu/sprostowania przez przedmiotowy organ ścigania.

(ii) Administracyjne środki zaskarżenia (Artykuł 18)

W przypadku, gdy osoba fizyczna nie zgadza się z decyzją dotyczącą jej wniosku o dostęp do danych osobowych lub ich sprostowanie, jest ona uprawniona do wniesienia administracyjnego środka zaskarżenia. Jeśli chodzi o prawo dostępu do danych oraz ich sprostowania, aby skutecznie wykonywać to prawo, przedmiotowa osoba, której dane dotyczą, jest uprawniona do upoważnienia w tym zakresie organu nadzoru (tj. krajowego organu ochrony danych właściwego dla osoby w UE, której dane dotyczą) lub innego przedstawiciela, jeśli jest to dozwolone na mocy obowiązujących przepisów krajowych.

Organ, do którego się zwrócono, udzieli przedmiotowej osobie, której dane dotyczą, odpowiedzi na piśmie, w której wskaże, w stosownych przypadkach, podjęte działania usprawniające lub naprawcze.

(ii) Sądowe środki zaskarżenia (Artykuł 19)

Obywatele państw każdej ze stron mogą złożyć w sądzie skargę dotyczącą i) odmowy dostępu do danych, ii) odmowy sprostowania danych lub iii) nielegalnego ujawnienia danych przez organy drugiej strony.

Po stronie USA zostało to odzwierciedlone w ustawie o sądowych środkach odwoławczych podpisanej przez prezydenta Baracka Obamę w dniu 24 lutego 2016 r. Umowa ta rozszerzy obowiązywanie tych trzech powodów wniesienia sądowych środków zaskarżenia określonych w amerykańskiej ustawie o prywatności z 1974 r., które są obecnie ograniczone do obywateli USA i stałych rezydentów, na obywateli „państw objętych ustawą”. W czwartym motywie preambuły umowy ramowej wyjaśniono, że to rozszerzenie będzie również obejmowało dane przekazywane na mocy takich umów, jak PNR i TFTP. Wraz z przyjęciem ustawy o sądowych środkach odwoławczych artykuł 19 znacznie zwiększy zatem ochronę sądową obywateli UE.

Mimo że ustawa o sądowych środkach odwoławczych zawiera szereg ograniczeń (w szczególności będzie ona miała zastosowanie jedynie do danych dotyczących obywateli „państw objętych ustawą” – których dane zostały przekazane przez organy ścigania prawa z UE – zwłaszcza do obywateli UE, lecz nie tylko), w art. 19 umowy ramowej uwzględniono od dawna wysuwany postulat UE.

Postanowienie to odpowiada wytycznym politycznym przewodniczącego Jeana-Claude'a Junckera, zgodnie z którymi „USA muszą [...] zagwarantować, by wszyscy obywatele UE mogli korzystać z przysługujących im praw do ochrony danych także i w sprawach toczących się przed amerykańskimi sądami, niezależnie od tego, czy zamieszkują na terytorium Stanów Zjednoczonych. Zlikwidowanie takiej dyskryminacji jest niezbędne dla odbudowy zaufania w relacjach transatlantyckich”. Podobnie postanowienie to odpowiada rezolucji Parlamentu Europejskiego z dnia 12 marca 2014 r. w sprawie realizowanych przez NSA amerykańskich programów nadzoru, w której Parlament zwrócił się o bezzwłoczne wznowienie negocjacji z USA dotyczących umowy ramowej, aby „prawa obywateli UE były traktowane na równi z prawami obywateli Stanów Zjednoczonych (...)” oraz aby zapewnić „skuteczne i możliwe do wyegzekwowania (...) sądowe środki odwoławcze dla wszystkich obywateli UE w Stanach Zjednoczonych bez jakiejkolwiek dyskryminacji”.

W art. 19 ust. 3 wyjaśniono, że rozszerzenie trzech wyżej wymienionych sądowych środków zaskarżenia jest bez uszczerbku dla innych możliwości wniesienia sądowych środków odwoławczych dostępnych w odniesieniu do przetwarzania danych (np. na mocy ustawy o procedurze administracyjnej, ustawy o prywatności w kontekście łączności elektronicznej lub ustawy o swobodnym dostępie do informacji). Te inne podstawy prawne wniesienia sądowych środków zaskarżenia są otwarte dla wszystkich osób z UE, których dane dotyczą, objętych przekazywaniem danych do celów egzekwowania prawa, niezależnie od ich obywatelstwa lub miejsca pobytu.

(iv) Aspekty dotyczące stosowania umowy ramowej i nadzoru

(i) Rozliczalność (Artykuł 14)

Należy wprowadzić środki propagujące odpowiedzialność organów przetwarzających dane osobowe objęte umową ramową. W szczególności jeśli dane osobowe są dalej przekazywane przez organ otrzymujący innym organom, organy te powinny być powiadamiane o zabezpieczeniach obowiązujących na mocy tej umowy, jak również o możliwych dodatkowych warunkach (ograniczających), które nałożono na przekazanie zgodnie z art. 6 ust. 3 (dotyczącym celowości i ograniczeń stosowania). Na poważne uchybienia należy reagować za pomocą odpowiednich i odstraszających sankcji karnych, cywilnych lub administracyjnych.

Środki na rzecz propagowania odpowiedzialności obejmują również, w stosownych przypadkach, wstrzymanie dalszego przekazywania danych osobowych do podmiotów stron, które to podmioty nie są objęte umową ramową, jeśli nie zapewniają one skutecznej ochrony informacji osobowych w świetle celu umowy (a w szczególności postanowień dotyczących celowości i dalszego przekazywania). Postanowienie to uwzględnia sytuację, w której dane osobowe są przesyłane przez organ UE do organu federalnego w USA (tj. organu objętego umową), a następnie dalej przekazywane organowi egzekwowania prawa na szczeblu stanowym. Na mocy obowiązujących zasad konstytucyjnych USA mają ograniczone możliwości nałożenia na swoje stany wiążących przepisów na szczeblu międzynarodowym. Aby zachować ciągłość ochrony danych przekazanych do agencji federalnych w USA, a następnie przesłanych do organów ścigania prawa na szczeblu stanowym, artykuł ten (i) uwzględnia w swoim zakresie „inne organy” stron (tj. organy nieobjęte zakresem tej umowy, takie jak organy stanowe w USA); (ii) przewiduje, że będą one informowane o zabezpieczeniach zapewnionych na podstawie umowy ramowej; oraz (iii) przewiduje, że przekazywanie do takich organów zostanie w razie konieczności wstrzymane, jeśli organy te nie będą zapewniały skutecznej ochrony danych osobowych w świetle celu umowy ramowej, a w szczególności w kontekście artykułów dotyczących celowości i dalszego przekazywania.

Poprzez dążenie do zapewnienia, aby właściwe organy egzekwowania prawa odpowiadały za przestrzeganie postanowień umowy ramowej, artykuł ten jest istotnym elementem skutecznego systemu egzekwowania prawa i nadzoru w ramach umowy. Ułatwi on również składanie wniosków przez osoby fizyczne w przypadku uchybień (i związanej z nimi odpowiedzialności organów publicznych).