Milliseid dokumente vajate andmesubjekti juurdepääsu- või kustutamispalve lahendamisel?
Kui keegi palub teil juurdepääsu tema andmetele või nende kustutamist, on teil taotluse hoolikaks käitlemiseks vaja mitut dokumenti: vastuvõttu kinnitav kiri kuupäevaga, viis taotleja identiteedi kontrollimiseks, ülevaade sellest, mida te tegelikult selle isiku kohta töötlete, kirjalik otsus põhjendusega ja võimalik teatis tähtaja pikendamisest. Need dokumendid moodustavad koos dossiee, millega saate näidata, mida küsiti ja kuidas sellega tegite.
Osa, millest valitseb kõige suurem ebakindlus, ei ole ise nimekiri vaid identiteedikontroll. Liiga vähe küsimusi on risk, sest sel juhul võite andmed potentsiaalselt valele isikule anda; liiga palju küsimusi on samuti risk, sest GDPR palub just mitte rohkem andmeid küsida, kui identiteedi tuvastamiseks vaja on. Täielik koopia isikutunnistusest on selleks tavaliselt vaja ja lisaks toob see kaasa uusi andmeid, mida peate jälle kaitsma ja õigel ajal hävitama.
Identiteedi tuvastamine liigse küsimustamiseta
Praktikas toimib see sageli andmetega, mis teil juba on: kliendi number, varem teada olev e-postiaadress või lühike tagasiheli kinnitamine. Ainult siis, kui on kahtlus selles, kes taotluse teeb, tulevad kõne küsimused. Autoriteit Persoonsgegevens ja EDPB suunised pööravad sellele tähelepanu just sellepärast, et see on punkt, kus organisatsioonid kõige sagedamini üle kompenseerivad. Kindel protseduur identiteedikontrolliks, mille te kord fikseerite ja seejärel korduvate, vältib seda, et peaksite seda iga kord uuesti välja mõtlema.
Mis kuulub dossieesse veel
Identiteedikontrolli kõrvale kuulub dossieesse ülevaade ise töödeldud andmetest: kust nad pärinevad, kellega need jagatud on ja kui kaua teil neid on. Selle ülevaate võtate praktikas oma andmetöötluse registrist, kui see on korras. Ilma registrita peate selle taotluse kaupa käsitsi oma süsteemidest välja otsima, mis võtab rohkem aega ja annab rohkem võimalusi mittetäielikuks vastuseks. Teadusbaas selgitab igal juhul, mis on täielik vastus.
Kustutamise nõudel on täiendav dokument: hinnang, kas on seaduslik säilitamiskohustus, mis kustutamist (ajutiselt) takistab, näiteks maksualaste andmete puhul. Selle hinnangu dokumenteerite kirjalikult, isegi kui tulemus on, et te ei kustuta (täielikult). See dokument on sama oluline kui kustutamine ise, sest näitab, et tehtud on teadlik otsus ja et nõuet ei unustatud.
Kuidas see seostub teie registriga ja teie tööriistadega
Juurdepääsu- või kustutamise nõue puudutab harva ühte süsteemi. Klientandmed asuvad sageli samaaegselt CRM-is, raamatupidamisprogrammis ja e-mailiga, ja igal juhul on küsimus, kas ja kui kaua kustutamine on võimalik. Kes on eelnevalt kaardistanud, millised SaaS-vahendid milliseid andmeid sisaldavad, ei pea seda iga nõudega uuesti avastama. Kas teie seaded vastavad sellele, mida määrus nõuab, saate kontrollida selgitused privaatsuse ja andmekaitste kohta.
Otsus ise on ka dokument: lühike kiri või e-mail, millest selgub, mida küsiti, mida te tegite ja millise aja jooksul. See tähtaeg on määruses kindlaks määratud ja algab vastuvõtmise hetkest, mitte hetkest, mil te sellele jõuate. Korduma kippuvate küsimuste ülevaade nende tähtaegade ja erandite kohta asub korduma kippuvad küsimused isikute taotluste kohta.
Dokumenteerimine tasub end ära, ka pärast käsitlemist
Kaust, mille koostite taotluse vastuvõtmisel, pole mõeldud ainult sellele ühele hetkel. See näitab ka seda, kui järelevalveasutus või andmesubjekt ise seda hiljem küsib, et taotlus on tuvastatud, hinnatud ja määratud aja jooksul käsitletud. Kas teie praegune töökorraldus seda juba hõlmab, on asi, mida saate parim arutada juristiga või Andmekaitse Inspektsiooniga, kui teil on kahtlused konkreetse olukorra suhtes.
Kas soovite paari minutiga näha, kuidas see teie ettevõtte jaoks konkreetsel kujul areneb, ilma et peaksite esmalt kõike ise välja selgitama? Tehke tasuta kiirskään või alustage äravalikut kontot, et hoida oma registrit ja taotlusi ülevaatlikult.