Osoba, která požaduje přístup, opravu nebo smazání svých údajů, má právo na odpověď do jednoho měsíce od obdržení žádosti. Toto je hlavní pravidlo z GDPR. Jedná-li se o žádost se složitým rozsahem nebo obdržíte-li jich více současně, poskytuje nařízení prostor pro prodloužení této lhůty maximálně o dva měsíce — za podmínky, že o tom informujete subjekt údajů v průběhu prvního měsíce a vysvětlíte důvody.
V praxi je právní lhůta zřídka problém. Kde se podniky zasekávají, je postup před tím: určit, kdo přesně o které údaje žádá, zjistit, v kterých systémech se tyto údaje nacházejí, a posoudit, zda se uplatňují výjimky, než něco smažete nebo poskytnete. Kdo tento proces nenastavil, zjistí, že hodiny již běží týden předtím, než se žádostí interně někdo podrobně zabývá.
Kdy lhůta začíná běžet
Lhůta začíná v okamžiku, kdy vám žádost dojde, nikoli v okamžiku, kdy ji věcně zpracováte. Žádost e-mailem na obecnou adresu, prostřednictvím recepce nebo jednotlivému zaměstnanci se počítá stejně. To znamená, že podnik, kde se takové zprávy rychle nepředají správné osobě, ztrácí čas, který již nelze dohnat. Kdo přesně ví, co je platná žádost a kam by měla dorazit, získá zde první a nejdůležitější dny.
Co prodloužení znamená v praxi
Možnost prodloužení není volná vstupenka k čekání, dokud se to nehodí. GDPR váže prodloužení na složitost samotné žádosti — například proto, že údaje jsou rozptýleny across více systémů nebo let, nebo proto, že je třeba nejprve určit, zda zveřejnění ovlivní práva ostatních. Žádost, která prostě zaostala, pod to nepadá. Orgány dohledu a soudy se dívají na povahu žádosti, nikoli na vytíženost v daném případě.
Kde průběžná lhůta v praxi selhává
Tři body se vracejí stále znovu. Za prvé ověření totožnosti: musíte být přiměřeně jisti, že údaje poskytujete osobě, které se týkají, aniž byste přitom zbytečně žádali mnoho dalších informací. Za druhé rozptyl údajů across různé SaaS-nástroje — CRM, účetní program, e-mailový klient — čímž se jedna žádost rychle týká více míst najednou. Za třetí otázka, zda údaje, které vlastně měly být smazány dříve, nespočívají stále v zálohách nebo starých souborech. Poslední bod úzce souvisí s retenčními lhůtami, které nejsou jasně stanoveny.
Podnik, který vopředu ví, které osobní údaje kde zpracovává, nemusí se při žádosti vůbec hledat, ale může se hned podívat. To je přesně důvod, proč aktuální evidence zpracování je více než formalita: je to referenční dílo, se kterým vypořádáte žádost v rámci lhůty, místo abyste ji hledali. V příspěvkovém centru jsou témata vysvětlena podle situace, včetně odkazu v oficiálním textu.
Co sami můžete udělat, aby ste zůstali v rámci lhůty
Určete, kdo žádost rozpozná a kam bude směrovat. Ujistěte se, že je jasné, které údaje jsou v kterém nástroji, abyste u každé žádosti nemuseli znovu zjišťovat, kde hledat. A nastavte dopředu rutinu pro ověření totožnosti, aby to nebylo improvizováno v okamžiku, kdy hodiny již běží. Kdo si není jist, zda konkrétní žádost spadá pod hlavní pravidlo nebo pod prodloužení, může to nejlépe předložit právníkovi nebo ověřit u Úřadu pro ochranu osobních údajů.
Zda je событost týkající se údajů oznamovací povinností, je jiná otázka než lhůta pro žádost subjektu údajů — platí zde jiná pravidla a kratší lhůta. Pokud si nejste jisti, zda něco do těchto kategorií spadá, můžete si to v několika otázkách ověřit s uvedením. Jak gdpria.eu váže lhůty, šablony a připomínky na jednotlivé povinnosti na vaš vlastní register, najdete na stránka vysvětlující, odkud informace pocházejí.
Chcete vědět, jak je na tom vaše podnik v tuto chvíli, aniž by vás to hned něco stálo? Absolvujte bezplatnou rychlou kontrolu nebo si přečtěte témata, která se vám zdají být nejpodobnější vaší situaci přes často kladené otázky o žádostech subjektů údajů.