За искане за изтриване, известно също като право на забравяне, GDPR предоставя срок от един месец. Този месец начина да тече от момента, в който получите искането, а не от момента, в който признаете, че е официално искане по GDPR. Ако искането е сложно или получите много исканий в кратко време, можете да продължите срока с два месеца. Трябва обаче да информирате субекта на данните в рамките на първия месец за това удължение и причините за отлагането.
В практиката един месец е по-кратък, отколкото изглежда. Искането за изтриване често не пристига като формален документ, а като имейл, телефонен разговор или съобщение чрез контактната форма на уебсайта. До момента, когато някой в организацията го признае като искане по GDPR и го препрати на правилния човек, вече е минало време, което не се брои към срока.
Що пада кога часовникът тика
Срокът начина от момента на получаване, независимо от канала, чрез който идва искането. Това означава, че искане, което пристига в отдела за обслужване на клиенти, към продавач или рецепционист, пуска часовника точно толкова, колкото и искане, което пристига директно до управлението или отдела по човешки ресурси. Много компании открива постфактум, че съобщение, което е лежало в джоба три седмици, е просто било искане за изтриване. Онези, които искат да намалят този риск, трябва да уточнят в организацията как да се разпознаят такива съобщения и къде трябва да отидат веднага.
Къде на практика срокът попада в затруднения
Най-голямото забавяне не произтича от решението за изтриване, а от намирането на всички места, където се намират данните. Име и имейл адрес могат да се появят едновременно в CRM система, счетоводен софтуер, списък за разсилки, архив и при външна страна, която обработва данни от ваше име, като счетоводител или маркетинг инструмент. Всички тези места трябва да бъдат проверени, и за всеки обработвател на данни, който обработва данни от ваше име, трябва да проверите дали и как осъществява изтриването. Списък на това кои инструменти съдържат кои данни спестява много работа по търсене в този процес. На в нашата база знания е обяснено по ситуация какво GDPR изисква от вас и на какво се основава това.
Втори източник на забавяне е въпросът дали изтриването изобщо е на дневен ред. Не всяко искане автоматично води до изтриване. Данни, които трябва да пазите на основата на законно задължение, като някои части на финансовата администрация или кадровите досиета в рамките на законния период на съхранение, остават извън задължението за изтриване, докато това задължение е в сила. Данни, които са необходими за установяване, упражняване или защита на правни претензии, също могат да представляват изключение. Кое изключение е приложимо в конкретен случай, е преценка на самата организация, евентуално с правник, и при съмнение Органът по защита на данните може да даде допълнителни указания.
Кога удължението е разрешено и кога не е
Удължението с два месеца не е автоматизм, който можете просто да използвате. GDPR свързва тази възможност със сложността на искането или с броя на исканията, които трябва да обработите едновременно. Едно просто, едностранно искане да отстранята адрес от списък за разсилки рядко е достатъчно сложно, за да отнеме три месеца. Искане, при което данни са разпръснати на множество системи и за множество години, може да бъде. Важно е да информирате субекта на данните в рамките на първия месец, че удължавате срока и защо; ако не го направите, първоначалният срок от един месец просто продължава.
Практично: управление на достижимия срок
Повечето закъснения могат да бъдат избегнати, ако предварително знаете къде се намират данните, вместо да ги търсите отново при всяко искане. Постоянен преглед на използваните системи, кой обработва кои данни в тях и какви договорки имате с външни страни, е разликата между искане, което се разрешава в рамките на една седмица, и искане, което отнема целия месец. Ако този преглед се синхронизира със система, която следи сроковете автоматично, няма да се налага да разчитате на календара. Повече информация относно това как този подход работи на практика и на какво е базирана информацията, е налична на страницата, която обяснява откъде идват информациите.
Искания за изтриване рядко пристигат в определен момент, и именно поради това е лесно първите дни на срока да преминат неизползвани. Ако желаете сроката да започне да тече веднага щом искането пристигне, можете да го настроите чрез бизнес профил. За подобни въпроси относно искания на субектите на данни има и преглед с по-кратки отговори.
Сумнявате ли се дали конкретно искане, което получавате, попада в рамките на задължението за изтриване, или кое изключение би могло да е приложимо? Това е преценка, която варира в зависимост от ситуацията, и която най-добре обсъждате с юрист или с Органа за защита на личните данни. Ако желаете първо сами да видите приблизително на какво място сте, можете да направите безплатната бърза проверка или да преглеждате темите в банката знания.