Které dokumenty potřebujete při žádosti o přístup nebo vymazání?
Pokud vás někdo požádá o přístup ke svým údajům nebo o jejich vymazání, budete k pečlivému vyřízení žádosti potřebovat řadu dokumentů: potvrzení o přijetí s datem, způsob, jak ověřit totožnost žadatele, přehled údajů, které o dané osobě skutečně zpracováváte, písemné rozhodnutí s odůvodněním a případně zprávu, v níž prodlužujete lhůtu. Tyto dokumenty dohromady tvoří spis, kterým můžete prokázat, co bylo požadováno a co jste s tím udělali.
Část, o které existuje největší nejistota, není vlastně seznam samotný, ale ověření totožnosti. Položit příliš málo otázek je riziko, protože pak můžete údaje poskytnout nesprávné osobě; položit příliš mnoho otázek je také riziko, protože nařízení právě požaduje, abyste si nevyžadovali více údajů, než je nutné k ověření totožnosti. Úplná kopie dokladu totožnosti k tomu obvykle není nutná a navíc přináší nové údaje, které musíte chránit a včas zničit.
Ověření totožnosti bez zbytečných otázek
V praxi to často funguje s údaji, které již máte: zákaznické číslo, dříve známou e-mailovou adresu nebo krátkou zpětnou kontrolu telefonem. Dodatečné ověření přichází v úvahu pouze v případě, že existuje pochybnost o tom, kdo žádost podal. Orgán na ochranu osobních údajů a pokyny EDBP se tomu věnují explicitně, právě proto, že se jedná o bod, kde organizace nejčastěji překompenzují. Ustálený postup pro ověření totožnosti, který si jednou nastavíte a pak opakujete, zabrání tomu, abyste to museli vždy znovu vymýšlet.
Co by mělo být dále v spisu
Vedle ověření totožnosti by v spisu měl být přehled samotných zpracovávaných údajů: odkud pochází, s kým jsou sdíleny a jak dlouho je už máte. Tento přehled prakticky čerpáte z vašeho rejstříku zpracovatelských činností, pokud je v pořádku. Bez rejstříku musíte toto pro každou žádost ručně hledat ve svých systémech, což zabere více času a zvyšuje riziko neúplné odpovědi. V znalostní bázi se na jednotlivé situace dozvíte, co obsahuje úplná odpověď.
Při žádosti o vymazání se přidává další dokument: posouzení, zda existuje zákonná povinnost uchovávat údaje, která vymazání (dočasně) brání, například u daňových údajů. Toto posouzení si zdokumentujete písemně, i když je výsledkem, že nevymažete (úplně). Tento dokument je právě tak důležitý jako vymazání samotné, protože ukazuje, že bylo učiněno vědomé rozhodnutí a nedošlo k zapomenutí na žádost.
Proč to souvisí s vaším rejstříkem a vašimi nástroji
Žádost o přístup nebo vymazání zřídka zasahuje pouze jeden systém. Údaje o zákaznících se často nacházejí současně v CRM, účetním balíčku a e-mailovém programu a u každého z nich se nabízí otázka, zda a jak dlouho je vymazání možné. Kdo si předem zmapuje, které SaaS-nástroje obsahují které údaje, nemusí to při každé žádosti znovu objevovat. Ověřit, zda jsou vaše nastavení v souladu s tím, co nařízení požaduje, můžete prostřednictvím vysvětlení o ochraně osobních údajů a bezpečnosti údajů.
Také samotné rozhodnutí je dokument: krátký dopis nebo e-mail, v němž je uvedeno, co bylo požadováno, co jste udělali a v jaké lhůtě. Tato lhůta je stanovena v nařízení a běží od okamžiku přijetí, nikoli od okamžiku, kdy se k tomu dostanete. Přehled často kladených otázek o těchto lhůtách a výjimkách naleznete v často kladené otázky týkající se žádostí od dotyčných osob.
Dokumentace se vyplácí, i po vyřízení
Spis, který si vytváříte při podání žádosti, není určen pouze pro daný okamžik. Také ukazuje, pokud by na něj později zeptala dohledávající osoba nebo samotný subjekt údajů, že byla žádost rozpoznána, posouzena a vyřízena v stanovené lhůtě. Zda vaše současný postup to již pokrývá, je něco, co si nejlépe vyjasnete s právníkem nebo s Úřadem pro ochranu osobních údajů, pokud si nejste jisti v konkrétní situaci.
Chcete si v pár minutách prohlédnout, jak se to konkrétně vztahuje na vaši společnost, aniž byste si to nejprve museli vše sami zjistit? Proveďte bezplatné rychlé prověření nebo spusťte obchodní účet, abyste měli svůj seznam činností zpracování a žádostí přehledně organizované.