Кои документи ви трябват при искане за достъп или изтриване?
Когато някой ви поиска достъп до своите данни или да ги изтриете, трябва да имате редица документи, за да обработите заявката внимателно: потвърждение за получаване с дата, начин за установяване на самоличността на заявителя, преглед на данните, които действително обработвате за този човек, писмено решение с обосновка и евентуално известие, в което延навате рока. Заедно тези документи образуват досието, което показва какво е поискано и какво сте направили с него.
Темата, която причинява най-много неопределеност, не е самият списък, а проверката на самоличност. Прекалено малко въпроси представляват риск, защото може да предоставите данни на грешния човек; прекалено много въпроси също представляват риск, защото GDPR точно изисква да не искате повече данни, отколкото е необходимо за установяване на самоличност. Пълно копие на документ за самоличност обикновено не е необходимо и освен това въвежда нови данни в системата, които трябва да защитите и да унищожите навреме.
Установяване на самоличност без излишни въпроси
На практика често работи с данни, които вече имате: номер на клиент, известен по-рано имейл адрес или кратко телефонно потвърждение. Допълнителна проверка е уместна само ако има съмнение кой е направил заявката. Управления по защита на данни и насоките на EDPB се фокусират именно върху това, защото това е точката, където организациите най-често преукомпенсират. Установена процедура за проверка на самоличност, която определяте веднъж и после повтаряте, предотвратява да трябва да го измисляте всеки път наново.
Какво трябва да бъде в досието
Освен проверката на самоличност, в досието трябва да бъде преглед на самите обработвани данни: откъде идват, с кого са споделени и как дълго ги имате. На практика вземате този преглед от своя регистър на дейностите при обработка на данни, ако е в ред. Без регистър трябва да разберете това ръчно при всяка заявка в своите системи, което отнема повече време и дава повече възможност за непълен отговор. В знанията сте намерите обяснено на ситуация какво означава пълен отговор.
При заявка за изтриване идва допълнителен документ: оценка дали съществува законна задължение за съхранение, което (временно) пречи на изтриването, например при фискални данни. Тази оценка я записвате писмено, дори ако резултатът е, че не изтривате (напълно). Този документ е толкова важен, колкото самото изтриване, защото показва, че е направен съзнателен избор и нямам е забравена заявка.
Защо това е свързано с вашия регистър и вашите инструменти
Заявка за достъп или изтриване рядко засяга един систем. Данните на клиентите често са в CRM, счетоводна система и имейл програма едновременно, и при всяка от тях се поставя въпросът дали и как дълго е възможно изтриването. Ако отпред в карта имате кои SaaS инструменти съдържат кои данни, не трябва да откривате това наново при всяка заявка. Дали настройките отговарят на това, което изисква разпоредбата, можете да проверите чрез разяснението относно поверителност и защита на данни.
Самото решение също е документ: кратко писмо или имейл, което казва какво е поискано, какво сте направили и в какъв срок. Този срок е определен в разпоредбата и се отчита от получаването, не от момента, когато можете да приложите усилия. Преглед на често задавани въпроси относно тези сроки и изключения е при често задавани въпроси за искания от субектите.
Документирането е полезно, дори след завършване
Досието, което изграждате при получаване на искане, не е предназначено само за този един момент. То показва също, ако контролен орган или самият заинтересован лицо го поискат по-късно, че исканието е признато, оценено и е обработено в установения срок. Дали вашата настояща работна процедура вече го покрива, е нещо, което е най-добре да обсъдите с юрист или с Управата по защита на личните данни, ако се съмнявате в конкретна ситуация.
Искате ли в няколко минути да видите как това станува конкретно за вашата компания, без да е необходимо първо да разберете всичко сами? Направете безплатното бързо сканиране или стартирайте деловен профил, за да поддържате вашия регистър и исканията организирани.