V případě žádosti o smazání, známé také jako právo na zapomenutí, poskytuje nařízení GDPR lhůtu jednoho měsíce. Tento měsíc začíná běžet v okamžiku, kdy žádost obdržíte, nikoli v okamžiku, kdy si uvědomíte, že jde o oficiální žádost podle nařízení GDPR. Pokud je žádost složitá nebo obdržíte více žádostí najednou v krátké době, můžete lhůtu o dva měsíce prodloužit. Musíte to však dotčené osobě sdělit během prvního měsíce s uvedením důvodu odkladu.
V praxi je ten jeden měsíc kratší, než se zdá. Žádost o smazání často nepřichází jako formální dokument, ale jako e-mail, telefonní hovor nebo zpráva prostřednictvím kontaktního formuláře na webových stránkách. Do doby, než si někdo v organizaci uvědomí, že jde o žádost podle nařízení GDPR, a přeposílá ji správné osobě, již uplynul čas, který se nezapočítává do lhůty.
Co spouští počítání lhůty
Lhůta začíná běžet v okamžiku obdržení, bez ohledu na to, kterým kanálem žádost přichází. To znamená, že žádost, která dorazí na oddělení péče o zákazníky, prodejci nebo recepční, spouští počítání lhůty stejně tak, jako žádost, která dorazí přímo na vedení nebo oddělení lidských zdrojů. Mnoho firem zjistí až později, že zpráva, která ležela v inboxu tři týdny, byla prostě žádostí o smazání. Kdo chce toto riziko minimalizovat, měl by v organizaci jasně vymezit, jak se takováto zpráva pozná a kam má být okamžitě odeslána.
Kde lhůta v praxi selhává
Největší zpoždění obvykle nevzniká při rozhodnutí o smazání, ale při hledání všech míst, kde se údaje nacházejí. Jméno a e-mailová adresa se mohou vyskytovat současně v systému CRM, fakturačním balíčku, mailinglistu, záloze a u třetí strany, která pro vás údaje zpracovává, jako je účetní nebo marketingový nástroj. Všechna tato místa musí být zkontrolována a pro každého zpracovatele, který vaším jménem údaje zpracovává, musíte ověřit, zda a jak provádí smazání. Přehled o tom, které nástroje obsahují které údaje, ušetří v tomto procesu spoustu vyhledávacích prací. V knowledge base jsou pro každou situaci vysvětleny požadavky nařízení GDPR a jejich právní základ.
Druhým zdrojem zpoždění je otázka, zda vůbec dochází k smazání. Ne každá žádost automaticky vede ke smazání. Údaje, které musíte uchovávat na základě právní povinnosti, například určité části finančního účetnictví nebo personálních spisů v rámci právní lhůty pro uchovávání, jsou mimo povinnost smazat, dokud tato povinnost trvá. Také údaje nezbytné pro vznik, výkon nebo obhajobu právního nároku mohou být výjimkou. Která výjimka se na konkrétní případ vztahuje, musí posoudit sama organizace, případně s právníkem, a v případě pochybností může o tom Úřad pro ochranu osobních údajů poskytnout další informace.
Kdy je prodloužení dovoleno a kdy ne
Prodloužení o dva měsíce není automatismusem, který si můžete bez problémů nárokovat. Nařízení GDPR tuto možnost pojí se složitostí žádosti nebo s počtem žádostí, které musíte vyřizovat současně. Jednotná jednoduchá žádost o vymazání adresy z mailinglistu nebude často dostatečně složitá na to, aby zabrala tři měsíce. Žádost, u níž se údaje rozprostírají přes více systémů a více let, může být. Důležité je, že dotčenou osobu během prvního měsíce informujete, že prodlužujete a proč; pokud tak neučiníte, původní lhůta jednoho měsíce jednoduše pokračuje.
V praxi: držet lhůtu zvladatelnou
Nejvíce zpoždění lze předejít tím, že si předem poznamenejte, kde se data nacházejí, místo aby se s každou žádostí znovu hledala. Stálý přehled používaných systémů, kdo v nich zpracovává jaká data a jaké dohody existují s externími partnery, činí rozdíl mezi žádostí vyřízenou během týdne a žádostí, která trvá celý měsíc. Kdo si nechá tento přehled sledovat systémem, který sám hlídá lhůtu, nemusí se již spoléhat na kalendář. Více informací o tom, jak takový přístup v praxi funguje a kde jsou informace založeny, naleznete na stránka vysvětlující, odkud informace pocházejí.
Žádosti o smazání přicházejí zřídka v pevný čas, a právě proto je snadné nechat první dny lhůty nevyužité uplynout. Kdo chce, aby se lhůta začala počítat, jakmile žádost dorazí, může to nastavit prostřednictvím obchodního účtu. Pro podobné otázky týkající se žádostí subjektů údajů existuje také přehled s kratšími odpověďmi.
Nejste si jisti, zda konkrétní žádost, která vám přijde, spadá pod povinnost smazání, nebo která výjimka by mohla platit? Jde o posouzení, které se liší podle situace, a nejlépe jej projednejte s právníkem nebo s Úřadem pro ochranu osobních údajů. Chcete-li si nejprve rychle ověřit svou situaci, můžete si udělat bezplatný quick-scan nebo projít témata v seznamu vědomostí.