Nejčastější chyba při zpracování žádosti subjektu údajů nespočívá v lhůtě, v níž reagujete, ale v obsahu vaší odpovědi. Podniky často buď vrátí příliš málo údajů při žádosti o přístup, nebo při žádosti o vymazání smažou údaje, které by vlastně měly dále uchovávat. Obě chyby vznikají proto, že je požadavek považován za jednu jednoduchou operaci, přestože je nejdříve třeba odpovědět na řadu otázek.
Jádro chyby je toto: žádost o přístup nebo vymazání vyžaduje posouzení pro každý jednotlivý údaj, ne prostou operaci, kterou byste provedli. Pokud někdo vymaže celý personální spis jen proto, že to bývalý zaměstnanec požaduje, může snadno vymazat údaje, které je třeba dále uchovávat na základě jiné právní povinnosti, například daňových nebo pracovněprávních lhůt pro uchovávání. Pokud při žádosti o přístup pošlete pouze export z jednoho systému, často vám chybí údaje, které jsou uloženy jinde, například v samostatném souboru Excel nebo v poštovní schránce vedoucího.
Proč se tato chyba vyskytuje tak často
AVG poskytuje subjektům údajů právo na přístup a za určitých podmínek právo na vymazání. Obě práva nejsou neomezená. Právo na vymazání se například neaplikuje, pokud existuje právní povinnost uchovávat údaje, nebo pokud jsou údaje potřebné k určení, uplatnění nebo obraně právního nároku. Toto rozlišení není obsaženo v jednoduché kontrolní listině, a to ztěžuje situaci pro toho, kdo to řeší poprvé.
Druhý důvod je ten, že údaje v průměrném podniku jsou rozprostřeny: v CRM systému, v účetnictví, v e-mailech, někdy v chatovací aplikaci. Požadavek je často zodpovězen pouze z jednoho systému, přestože má subjekt údajů právo na úplný přehled. To je právě místo, kde je aktuální registr aktivit zpracování neocenitelný: pokud si předem zaznamenáte, které systémy obsahují osobní údaje a čích, nemusíte to řešit pod časovým tlakem v okamžiku, kdy příde požadavek.
Druhá chyba: neověření identity
Kromě věcného posouzení se věci často pokazují již v prvním kroku: určení toho, kdo požadavek podává. Žádost o přístup nebo vymazání často obsahuje citlivé informace, a tyto informace mají dojít pouze samotnému subjektu údajů. Příliš rychlé zpracování požadavku bez ověření identity může vést k tomu, že údaje jedné osoby skončí u jiné osoby. Zároveň platí: zbytečně přísná kontrola identity zpomaluje zpracování a může být vnímána jako překážka, která není úměrná požadavku.
Jak se této chybě vyhnout
Prvním krokem je správné zaznamenání samotného požadavku: co se přesně požaduje, od koho a v jaké datum přišel. Od tohoto okamžiku běží právní lhůta, a tato lhůta platí bez ohledu na to, zda požadavek přišel e-mailem, telefonem nebo písemně.
Druhým krokem je zjistit, v kterých systémech jsou údaje této osoby uloženy. Aktuální registr aktivit zpracování to výrazně urychluje, protože již víte, které nástroje a dodavatelé zpracovávají údaje zaměstnanců nebo zákazníků. Kdo to ještě nemá centralizováno, může si přečíst znalostní báze s vysvětlením pro každou situaci podrobnosti o tom, co přesně by měl registr obsahovat, než požadavek přijde.
Třetím krokem je posoudit pro každý jednotlivý údaj, zda je vymazání nebo zpřístupnění povoleno, místo aby se celý spis řešil najednou. Pokud si nejste jisti ohledně právní povinnosti uchovávat údaje, která je v rozporu s požadavkem, je rozumné si v tomto bodě obstarat právní poradenství; dohledový orgán toto rozlišení uvádí v jeho pokynech, ale výsledek závisí na konkrétní situaci.
Nakonec je užitečné mít předem stanoveném postupu pro takovéto žádosti, aby se v každém případě nemuselo znovu vymýšlet, kdo je za co odpovědný. Odpovědi na často kladené otázky k tomuto tématu jsou přehledně shromážděny v sbírce nejčastějších otázek, a kdo chce vidět, jak gdpria.eu uvádí zdroj každé odpovědi, přečte si to na stránce vysvětlení, jak se informace vytváří.
Dobře vedený registr a stanoveným postup nezabrání tomu, aby žádost nepřišla, ale zabrání tomu, aby se pod časovým tlakem pokazila. Kdo by to raději chtěl řešit strukturálně místo abychom to pokaždé znovu vymýšleli, může si zdarma udělat představu o obchodním účtu zdarma se informovat o obchodním účtu a tak si uvést pořádek v přehledu podle systému a podle žádosti.
Chcete vědět, jak vypadá vaše vlastní situace? Bezplatná rychlá kontrola vám v několika otázkách poskytne první náhled bez nutnosti účtu.