Poistopyyntöön, jota kutsutaan myös oikeudeksi tulla unohdetuksi, GDPR antaa kuukauden aikarajan. Tämä kuukausi alkaa siitä hetkestä, kun saat pyynnön, ei siitä hetkestä, kun tunnistit sen viralliseksi GDPR-pyynnöksi. Jos pyyntö on monimutkainen tai saat monia pyyntöjä lyhyessä ajassa, voit jatkaa aikarajaa kahdella kuukaudella. Sinun on kuitenkin ilmoitettava tästä lykkäyksestä asiakkaalle ensimmäisen kuukauden aikana ja kerrottava lykäyksen syy.
Käytännössä kuukausi tuntuu lyhyemmältä kuin onkin. Poistopyyntö saapuu usein muodollisen asiakirjan sijasta sähköpostina, puhelimitse tai viestin kautta verkkosivuston yhteydenottolomakkeella. Siihen mennessä, kun organisaation joku tunnistaa sen GDPR-pyynnöksi ja ohjaa sen oikealle henkilölle, aikaa on jo kulunut eikä sitä huomioida aikarajassa.
Mikä käynnistää kellon
Aikaraja alkaa saapumishetkestä riippumatta siitä, minkä kanavan kautta pyyntö tulee. Tämä tarkoittaa, että asiakaspalvelussa, myyjän tai vastaanottajan kautta saapuva pyyntö käynnistää kellon aivan yhtä hyvin kuin suoraan johdolle tai henkilöstöosastolle saapuva pyyntö. Monet yritykset huomaavat vasta jälkeenpäin, että viesti, joka oli olleet inboxissa kolme viikkoa, oli tosiasiassa poistopyyntö. Joilla halutaan rajoittaa tätä riskiä, on hyvä selventää organisaation sisällä, miten tällainen viesti tunnistetaan ja mihin se välittömästi lähetetään.
Missä aikaraja käytännössä juuttuu kiinni
Suurin osa viivästymisistä ei synny päätöksestä poistaa, vaan siitä, että tiedot löydetään kaikista paikoista. Nimi ja sähköpostiosoite voivat esiintyä samanaikaisesti CRM-järjestelmässä, laskutusohjelmassa, postituslistalla, varmuuskopiossa ja ulkoisella osapuolella, joka käsittelee tietoja puolestasi, kuten kirjanpitäjä tai markkinointityökalu. Kaikki nämä paikat on käytävä läpi, ja jokaiselle puolestasi tietoja käsittelevällä alihankkijalle on varmistettava, miten ja mukaansa poistaminen tapahtuu. Yleiskatsaus siitä, mitkä työkalut sisältävät mitä tietoja, säästää paljon hakutyötä tässä prosessissa. Kohdassa tietokannan kukin tilanne selitetään siten, mitä GDPR edellyttää sinulta ja mihin se perustuu.
Toinen viivästymisen lähde on kysymys siitä, onko poistaminen ylipäätään asiaankuuluvaa. Jokainen pyyntö ei automaattisesti johda poistamiseen. Tiedot, jotka sinun on säilytettävä lain vaatimuksesta, kuten tiettyjä taloudellisen kirjanpidon osia tai henkilöstöasiakirjoja lain mukaisen säilytysajan kuluessa, eivät kuulu poistamisvelvollisuuden piiriin niin kauan kuin tämä velvollisuus on voimassa. Myös tiedot, jotka ovat tarpeen oikeusvaatimuksen varmistamiseen, käyttämiseen tai perustelemiseen, voivat olla poikkeuksia. Kumpi poikkeus on sovellettavissa kussakin tapauksessa, on organisaation itse arvioitava, mahdollisesti lakimiehen avulla, ja epäillä tapauksessa Henkilötietojen suojaviranomainen voi antaa asiasta lisäselvitystä.
Milloin pidennys on sallittu ja milloin ei
Kahden kuukauden pidennys ei ole automaattinen asia, jota voit vain vaatia. GDPR liittää tämän mahdollisuuden pyynnön monimutkaisuuteen tai siihen, että sinun on samanaikaisesti käsiteltävä useita pyyntöjä. Yksittäinen, yksinkertainen pyyntö poistaa osoite postituslistalta ei ole nopeasti niin monimutkainen, että siihen tarvitaan kolme kuukautta. Pyyntö, jossa tiedot ovat hajallaan useiden järjestelmien ja useiden vuosien ajalle, voi olla. Tärkeää on, että ilmoitat asiakkaalle ensimmäisen kuukauden aikana, että pidennät aikarajaa ja miksi; jos et tee niin, alkuperäinen kuukauden aikaraja jatkuu normaalisti.
Käytännön kannalta aikarajan hallittavaksi pitäminen
Useimmat viivästykset voidaan välttää tietämällä etukäteen, missä tiedot sijaitsevat, sen sijaan että kunkin pyynnön yhteydessä etsittäisiin niitä uudelleen. Kiinteä yleiskatsaus käytetyistä järjestelmistä, siitä, kuka käsittelee niissä mitä tietoja ja mitkä sopimukset ulkoisten osapuolten kanssa ovat voimassa, tekee eron pyynnön välillä, joka käsitellään viikon sisällä, ja pyynnön välillä, joka kestää koko kuukauden. Kuka antaa tämän yleiskatsauksen kulkea mukana järjestelmässä, joka valvoo määräaikaa itse, ei enää tarvitse luottaa kalenteriin. Lisätietoja siitä, miten tällainen lähestymistapa käytännössä toimii ja mistä tiedot perustuvat, löytyy osoitteesta sivu, joka selittää, mistä tiedot tulevat.
Poistamispyynnöt tulevat harvoin kiinteässä ajassa, ja juuri siksi on helppo antaa määräajan ensimmäiset päivät käyttämättä kulua. Kuka haluaa määräajan kulkevan mukana heti kun pyyntö saapuu, voi tehdä sen liikeyritystunnuksen kauttaVastaavista kysymyksistä rekisteröityjen pyynnöistä on myös lyhyempien vastausten yleiskatsaus.
Oletko epävarma, onko konkreettinen sinulle saapunut pyyntö poistamisvelvollisuuden piiriin, vai mitä poikkeavaa säännöstä voitaisiin soveltaa? Se on arviointi, joka vaihtelee tilanteen mukaan, ja sen parissa on parasta neuvotella juristi tai Tietosuojaviranomaisen kanssa. Haluatko ensin itse nähdä nopeasti, missä vaiheessa olet, voit tehdä ilmaisen quick-scan -tarkistuksen tai käydä läpi aiheiden aiheita tietokannassa.