Ποια έγγραφα χρειάζεστε για ένα αίτημα πρόσβασης ή διذذذγραφής;
Όταν κάποιος σας ζητά πρόσβαση στα δεδομένα του ή διαγραφή τους, χρειάζεστε ορισμένα έγγραφα για να χειριστείτε σωστά το αίτημα: μια επιβεβαίωση λήψης με ημερομηνία, έναν τρόπο για να επιβεβαιώσετε την ταυτότητα του αιτούντος, μια περίληψη των δεδομένων που επεξεργάζεστε για τον άτομο αυτόν, μια γραπτή απόφαση με αιτιολόγηση, και ενδεχομένως ένα μήνυμα στο οποίο παρατείνετε την προθεσμία. Μαζί, αυτά τα έγγραφα αποτελούν το φάκελο με τον οποίο μπορείτε να αποδείξετε τι ζητήθηκε και τι κάνατε γι' αυτό.
Το μέρος όπου υπάρχει η περισσότερη αβεβαιότητα δεν είναι η ίδια η λίστα αλλά ο έλεγχος ταυτότητας. Πολύ λίγες ερωτήσεις είναι ένας κίνδυνος επειδή μπορεί να παράσχετε δεδομένα στο λάθος άτομο· πάρα πολλές ερωτήσεις είναι επίσης ένας κίνδυνος, επειδή η GDPR ακριβώς ζητά να μην ζητούνται περισσότερα δεδομένα από ό,τι είναι απαραίτητο για την ταυτοποίηση. Ένα πλήρες αντίγραφο ενός εγγράφου ταυτότητας συνήθως δεν είναι απαραίτητο γι' αυτό και επιπλέον εισάγει νέα δεδομένα που πρέπει να προστατεύσετε και να διαγράψετε εγκαίρως.
Ταυτοποίηση χωρίς υπερβολικές ερωτήσεις
Στην πράξη, λειτουργεί συχνά με δεδομένα που ήδη έχετε: ένας αριθμός πελάτη, μια διεύθυνση ηλεκτρονικού ταχυδρομείου που ήταν γνωστή προηγουμένως, ή μια σύντομη επαλήθευση μέσω κλήσης. Μόνο αν υπάρχει αμφιβολία σχετικά με το ποιος κάνει το αίτημα, η πρόσθετη επαλήθευση είναι αναγκαία. Η Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και οι κατευθυντήριες γραμμές του EDPB δίνουν ιδιαίτερη προσοχή εδώ, ακριβώς επειδή αυτό είναι το σημείο όπου οι οργανισμοί συχνότατα υπερβολικοποιούν. Μια σταθερή διαδικασία για τον έλεγχο ταυτότητας, την οποία θέτετε μια φορά και στη συνέχεια επαναλαμβάνετε, αποτρέπει να χρειάζεται να το επινοείτε κάθε φορά ξανά.
Τι άλλο ανήκει στο φάκελο
Εκτός από τον έλεγχο ταυτότητας, στο φάκελο υπάρχει μια περίληψη των ίδιων των επεξεργασμένων δεδομένων: από πού προέρχονται, με ποιον έχουν κοινοποιηθεί και πόσο καιρό τα έχετε. Στην πράξη, το αναtrieve σ' αυτό το αίτημα από το μητρώο επεξεργασίας σας, αν είναι σε τάξη. Χωρίς μητρώο, πρέπει να το αναζητήσετε χειρωνακτικά ανά αίτημα στα συστήματά σας, κάτι που απαιτεί περισσότερο χρόνο και δίνει περισσότερες πιθανότητες για ένα ελλιπές απάντημα. Στη γνωσιακή βάση βρίσκετε ανά περίπτωση εξήγηση του τι αποτελεί ένα πλήρες απάντημα.
Κατά ένα αίτημα διαγραφής υπάρχει ένα πρόσθετο έγγραφο: η εκτίμηση για το αν υπάρχει μια νόμιμη υποχρέωση διατήρησης που (προσωρινά) αποτρέπει τη διαγραφή, για παράδειγμα με φορολογικά δεδομένα. Αυτή η εκτίμηση την καταγράφετε γραπτώς, ακόμα κι αν το αποτέλεσμα είναι ότι δεν διαγράφετε (εν μέρει). Αυτό το έγγραφο είναι εξίσου σημαντικό με τη διαγραφή αυτή, επειδή δείχνει ότι έγινε μια συνειδητή απόφαση και όχι ένα ξεχασμένο αίτημα.
Γιατί αυτό σχετίζεται με το μητρώό σας και τα εργαλεία σας
Ένα αίτημα πρόσβασης ή διαγραφής σπάνια αγγίζει ένα μόνο σύστημα. Τα δεδομένα πελατών είναι συχνά σε ένα CRM, ένα λογιστικό πακέτο και ένα πρόγραμμα ηλεκτρονικού ταχυδρομείου ταυτόχρονα, και σε κάθε ένα από αυτά τίθεται το ερώτημα αν και πόσο καιρό είναι δυνατή η διαγραφή. Όποιος έχει χαρτογραφήσει εκ των προτέρων ποιες εφαρμογές SaaS περιέχουν ποια δεδομένα, δεν χρειάζεται να το ανακαλύψει ξανά ανά αίτημα. Κατά πόσον οι ρυθμίσεις σας ταιριάζουν με αυτό που ζητά η Διάταξη, μπορείτε να ελέγξετε μέσω της διευκρίνιση σχετικά με το απόρρητο και την ασφάλεια δεδομένων.
Και η ίδια η απόφαση είναι ένα έγγραφο: μια σύντομη επιστολή ή e-mail στην οποία αναφέρεται τι ζητήθηκε, τι κάνατε και σε ποια προθεσμία. Αυτή η προθεσμία είναι καθορισμένη στη Διάταξη και ξεκινά από την ημερομηνία λήψης, όχι από την ημερομηνία που σας κάνατε αρχίζετε. Μια περίληψη των συχνών ερωτημάτων σχετικά με αυτές τις προθεσμίες και εξαιρέσεις βρίσκεται στη συχνές ερωτήσεις σχετικά με αιτήματα υποκειμένων δεδομένων.
Η τεκμηρίωση αποδίδει καρπούς, ακόμη και μετά τη διεκπεραίωση
Ο φάκελος που δημιουργείτε κατά την εκπλήρωση ενός αιτήματος δεν προορίζεται μόνο για εκείνη τη συγκεκριμένη στιγμή. Δείχνει επίσης, εάν μια αρχή εποπτείας ή ο ίδιος ο υποκείμενο των δεδομένων ζητήσει αργότερα, ότι το αίτημα αναγνωρίστηκε, αξιολογήθηκε και διεκπεραιώθηκε εντός της καθορισμένης προθεσμίας. Το αν η παρούσα πρακτική σας το καλύπτει ήδη είναι κάτι που είναι καλύτερο να συζητήσετε με έναν νομικό ή με την Αρχή Προστασίας Δεδομένων αν έχετε αμφιβολίες σχετικά με μια συγκεκριμένη κατάσταση.
Θέλετε να δείτε σε λίγα λεπτά πώς αυτό γίνεται συγκεκριμένο για την επιχείρησή σας, χωρίς να χρειαστεί πρώτα να ερευνήσετε τα πάντα μόνοι σας; Κάντε τη δωρεάν γρήγορη σάρωση ή δημιουργήστε λογαριασμό επιχείρησης για να διατηρείτε το μητρώο και τα αιτήματά σας ταξινομημένα.