Η σύντομη απάντηση
Τα ίδια τα δικαιώματα δεν αλλάζουν φέτος. Το δικαίωμα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, αντίρρησης και φορητότητας προβλέπεται στο ίδιο το GDPR, και το κείμενό του δεν ξαναγράφεται κάθε χρόνο. Αυτό που μεταβάλλεται είναι ο τρόπος με τον οποίο τέτοια αιτήματα φθάνουν στα επιχειρήματα και ο τρόπος με τον οποίο οι αρχές εποπτείας και οι ευρωπαϊκοί φορείς προστασίας δεδομένων (EDPB) δίνουν εξηγήσεις γι' αυτά. Για έναν διευθυντή ή ένα διευθυντή ανθρώπινου δυναμικού, αυτό κάνει διαφορά στην πράξη, ακόμη κι αν δεν αλλάζει τίποτα στο κείμενο του νόμου.
Αυτό δεν σημαίνει ότι δεν χρειάζεται να παρακολουθήσετε τίποτα. Οι οδηγίες της Αρχής Προστασίας Δεδομένων και του EDPB συμπληρώνονται τακτικά, για παράδειγμα σχετικά με τον τρόπο επαλήθευσης της ταυτότητας ενός αιτητή ή πώς να αντιμετωπίσετε ένα αίτημα που λαμβάνεται μέσω μιας λειτουργίας συνομιλίας ή των κοινωνικών μέσων. Αυτές οι συμπληρώσεις δεν είναι νέα νομοθεσία, αλλά μια πιο ακριβής ερμηνεία μιας υφιστάμενης υποχρέωσης.
Τι δεν αλλάζει στο ίδιο το νομικό κείμενο
Το κύριο σημείο παραμένει αμετάβλητο: ένα υποκείμενο δικαιωμάτων μπορεί να ζητήσει ποια δεδομένα επεξεργάζεστε γι' αυτό, μπορεί να ζητήσει τη διόρθωση ανακριβών δεδομένων και μπορεί υπό ορισμένες προϋποθέσεις να ζητήσει διαγραφή. Η προθεσμία μέσα στην οποία πρέπει να ανταποκριθείτε προβλέπεται στο ίδιο το GDPR και δεν υπόκειται σε ετήσια επανεξέταση. Τα επιχειρήματα που νομίζουν ότι φέτος εισήχθη μια νέα, συντομότερη ή μεγαλύτερη προθεσμία ανταπόκρισης, πιθανότατα το συγχέουν με εσωτερικές συμφωνίες ή με επικοινωνίες που δεν αφορούν ίδιο το κείμενο του νόμου.
Οι λόγοι εξαιρέσεων, όπως μια νόμιμη υποχρέωση διατήρησης που εμποδίζει τη διαγραφή, παραμένουν επίσης αμετάβλητοι. Αυτό που μπορεί να αλλάξει είναι ο τρόπος με τον οποίο οι αρχές εποπτείας ερμηνεύουν αυστηρά τις εξαιρέσεις στις οδηγίες τους. Αυτό δεν είναι τροποποίηση νόμου, αλλά μπορεί να σημαίνει ότι μια αιτιολόγηση που ήταν επαρκής πέρυσι, φέτος πρέπει να τεκμηριωθεί με μεγαλύτερη ακρίβεια.
Τι κινείται φέτος
Τρεις εξελίξεις είναι σχετικές για το MKB, χωρίς να έχει τροποποιηθεί ίδιος ο νόμος. Πρώτον, τα αιτήματα φθάνουν όλο και περισσότερο ψηφιακά, μέσω ενός φορμουλαρίου επικοινωνίας, ενός chatbot ή μιας απάντησης στα κοινωνικά μέσα, αντί να έρχονται με επιστολή. Αυτό δεν αλλάζει την υποχρέωση, αλλά αλλάζει το ερώτημα εάν το αίτημα αναγνωρίζεται ως τυπικό αίτημα και φθάνει εγκαίρως στο σωστό άτομο στην οργάνωση.
Δεύτερον, αυξάνεται η προσοχή για αιτήματα που αφορούν αυτοματοποιημένη επεξεργασία, για παράδειγμα όταν τα δεδομένα χρησιμοποιήθηκαν για την κατασκευή ενός προφίλ ή μια εφαρμογή τεχνητής νοημοσύνης έδωσε είσοδο για μια απόφαση. Το EDPB ανατρέχει τακτικά σε αυτό το θέμα. Τα επιχειρήματα που χρησιμοποιούν εργαλεία τεχνητής νοημοσύνης για επικοινωνία με πελάτες ή αξιολόγηση προσωπικού κάνουν καλά να γνωρίζουν ποια δεδομένα βρίσκονται σε αυτά, προτού να φθάσει ένα αίτημα. Αυτό σχετίζεται άμεσα με τις ερωτήσεις που ανακύπτουν σχετικά με GDPR και εργαλεία τεχνητής νοημοσύνης στην πράξη.
Τρίτον, υπάρχει ευρύτερη συζήτηση σχετικά με την αξιολόγηση του GDPR ως σύνολο, σε ευρωπαϊκό επίπεδο. Αυτό εξετάζει αν οι κανόνες για μικρότερες οργανώσεις μπορούν να είναι απλούστεροι, αλλά οι συγκεκριμένες τροποποιήσεις νόμων δεν έχουν καθοριστεί αυτή τη στιγμή. Αυτό που δεν έχει καθοριστεί ακόμη, το αναφέρουμε εδώ ως τέτοιο: δεν υπάρχει καθοριστική ημερομηνία ή περιεχόμενο γνωστό και η εικασία σχετικά με αυτό δεν βοηθά έναν επιχειρηματία περαιτέρω.
Για ποιον κάνει διαφορά
Αυτές οι μετατοπίσεις αφορούν ιδιαίτερα οργανώσεις που έχουν πολλές στιγμές επαφής με πελάτες ή υπαλλήλους: ένα γραφείο με υπηρεσία πελατών, ένα εγκαταστατικό επιχείρημα με ένα φορμουλάριο προσφοράς στον ιστότοπο ή ένα τμήμα ανθρώπινου δυναμικού που επεξεργάζεται δεδομένα αίτησης. Όσο περισσότερα κανάλια μέσω των οποίων επικοινωνεί κάποιος, τόσο μεγαλύτερη είναι η πιθανότητα ένα αίτημα να φθάσει κάπου χωρίς να το αναγνωρίσει κανείς ως τυπικό αίτημα GDPR. Αυτό δεν είναι νομικό κίνδυνο που εκτιμούμε εδώ, αλλά είναι ένα πρακτικό σημείο που αξίζει να συζητηθεί εσωτερικά.
Σχετικό είναι επίσης η σχέση με τις συμφωνίες επεξεργασίας δεδομένων: εάν ένας πελάτης υποβάλει αίτημα στην εταιρεία σας, αλλά τα δεδομένα βρίσκονται σε έναν εξωτερικό πάροχο SaaS, ο πάροχος πρέπει να μπορεί να συνεργαστεί στην πρόσβαση ή την διذéπθυνση. Μπορείτε να ελέγξετε εάν αυτό είναι καλά ρυθμισμένο συμβατικά μέσω του συχνές ερωτήσεις σχετικά με τις συμφωνίες επεξεργασίας δεδομένων και τα εργαλεία SaaS.
Πώς να το παρακολουθείτε χωρίς να το επιλύετε κάθε φορά
Επειδή το κείμενο του νόμου είναι σταθερό αλλά η ερμηνεία του μεταβάλλεται, το σημαντικό είναι να γνωρίζετε από πού προέρχεται η τρέχουσα κατάσταση και πότε αλλάζει. Το gdpria.eu συνδέει κάθε θέμα με την πηγή του στον Κανονισμό (ΕΕ) 2016/679 και στις κατευθυντήριες γραμμές του ΕΔΠΑ και της Αρχής Προστασίας Δεδομένων, ώστε να μην χρειάζεται να ελέγχετε μόνος σας εάν κάτι έχει τροποποιηθεί. Σε περίπτωση ύποψης παραβίασης δεδομένων, μπορείτε για παράδειγμα πρώτα να ελέγξετε σε μερικές ερωτήσεις πού βρίσκεστε, πριν υποχρεωθείτε να λάβετε περαιτέρω μέτρα.
Θέλετε να γνωρίζετε πώς διατηρούνται αυτές οι πληροφορίες και από πού προέρχεται η παραπομπή; Κάντε την δωρεάν γρήγορη σάρωση ή διαβάστε τα θέματα στη βάση γνώσης και αποφασίστε μόνοι σας εάν απαιτείται ένα επόμενο βήμα.