Краткия отговор
Самите права не се променят тази година. Правото на достъп, коригиране, изтриване, ограничение, възражение и преносимост е в самия GDPR, и този текст не се преписва всяка година. Това, което се променя, е начинът, по който тези искания стигат до предприятията и как надзорните органи и Европейският борд за защита на данните (EDPB) дават обяснения по този въпрос. За директор или мениджър в HR отдела това е разликата на практика, въпреки че текстът на закона остава непроменен.
Това не означава, че не трябва да следите нищо. Насоките на Управлението по защита на личните данни и EDPB се актуализират редовно, например за проверката на самоличност на лицето, което подава искането, или как се справяте с искане, което пристигне чрез чат функция или социални медии. Тези актуализации не са нов закон, но по-прецизна интерпретация на съществуващо задължение.
Какво не се променя в самия закон
Основата остава непроменена: засегнато лице може да попита какви данни за него вие обработвате, може да поправи неправилни данни и при определени условия може да иска изтриване. Периодът, в който трябва да отговорите, е в самия GDPR и не подлежи на годишни преразглеждания. Предприятия, които мислят, че тази година е внедрен нов, по-кратък или по-дълъг период за отговор, вероятно бъркат това със вътрешни договореност или съобщения, които не се отнасят до самия текст на закона.
И изключенията, като законово задължение за съхранение, което пречи на изтриването, остават непроменени. Това, което може да се измени, е как строго надзорните органи интерпретират тези изключения в своите насоки. Това не е изменение на закона, но може да означава, че обосновка, която миналата година беше достатъчна, тази година трябва да бъде документирана по-прецизно.
Какво е в движение тази година
Три развития са релевантни за МСП, без самият закон да е адаптиран. Първо, исканията пристигат все по-често в цифров формат чрез контактна форма, чатбот или отговор в социални медии, вместо по писмо. Това не променя задължението, но променя въпроса дали искането се разпознава като официално искане и се достига своевременно до правилния човек в организацията.
Второ, се увеличава вниманието към искания, които засягат автоматизирана обработка, например когато данни са използвани за профилиране или приложение с изкуствен интелект е дало входни данни за решение. EDPB редовно развива този предмет. Предприятия, които използват AI инструменти за контакт с клиенти или оценка на персонала, следователно трябва да знаят какви данни в тях се съдържат, преди да пристигне искане. Това директно засяга въпросите, които се обсъждат около GDPR и AI инструменти на практика.
Трето, се провежда по-широка дискусия за оценката на GDPR като цяло, на европейско ниво. При това се разглежда дали правилата за по-малки организации могат да бъдат опростени, но конкретни изменения на закона в момента не са утвърдени. Това, което още не е определено, съобщаваме тук и като такова: няма окончателна дата или съдържание, което е известно, и спекулацията по този въпрос не помага на предпринимателя.
За кого е релевантно
Тези изменения засягат особено организации, които имат много точки на контакт с клиенти или служители: офис с клиентска служба, монтажна фирма с формуляр за оферта на уебсайта, или HR отдел, който обработва данни от кандидатури. Колкото повече канали, чрез които някой поддържа контакт, толкова по-голям е риск, че искане пристигне някъде без да се разпознае като официално GDPR искане. Това не е юридически риск, който оценяваме тук, но е практична точка, която е достойна на вътрешно обсъждане.
Също така е важна връзката с вашите договорите за обработка: ако клиент направи искане при вас, но данните са находятся при външен SaaS-доставчик, този доставчик трябва да може да сътрудничи при достъп или изтриване. Дали това е добре уредено договорно, можете да проверите чрез често задавани въпроси относно договорите за обработка и SaaS-инструменти.
Как да следите това без всеки път да го разбирате наново
Тъй като текстът на закона е стабилен, но неговото тълкуване се променя, главното е да знаете откъде идва актуалното положение и кога се променя. gdpria.eu свързва всяка тема с източника в GDPR и с насоките на EDPB и на Управата за защита на личните данни, така че вие сами не трябва да следите дали е променено нещо. При подозрение на утечка на данни можете например първо в няколко въпроса да проверите позицията си, преди да предприемете допълнителни стъпки.
Искате ли да знаете как се пазят този вид информация и откъде идва указанието на източника? Направете безплатната бърза проверка или прочетете темите в базата от знания, и решете сами дали е необходим следващ етап.