Mitä asiakirjoja tarvitset pyynnön käsittelemiseen, kun kyse on tiedon saamisesta tai poistamisesta?
Kun joku pyytää pääsyä hänen tietoihinsa tai niiden poistamista, tarvitsette useita asiakirjoja pyynnön huolelliseen käsittelyyn: vastaanottoilmoituksen päivämäärällä, keinon vahvistaa pyytäjän henkilöllisyys, yhteenveto siitä, mitä kyseisestä henkilöstä todellisuudessa käsittelette, kirjallinen päätös perusteluineen, ja mahdollisesti ilmoitus aikarajans pidentämisestä. Nämä asiakirjat muodostavat yhdessä asiakirjajoukon, jonka avulla voitte osoittaa, mitä on pyydetty ja mitä siitä on tehty.
Osuus, josta on eniten epävarmuutta, ei ole itse lista vaan henkilöllisyyden vahvistaminen. Liian harvat kysymykset aiheuttavat riskin, koska voitte mahdollisesti luovuttaa tiedot väärään henkilöön; liian monet kysymykset aiheuttavat myös riskin, koska GDPR pyytää olemaan pyytämättä enemmän tietoja kuin on välttämätöntä henkilöllisyyden vahvistamiseksi. Henkilöllisyystodistuksen täydellinen kopio ei yleensä ole tarpeellinen ja tuo lisäksi uusia tietoja, jotka joutuvat suojaamaan ja tuhoamaan oikea-aikaisesti.
Henkilöllisyyden vahvistaminen ilman ylikysymyksiä
Käytännössä se toimii usein tiedoilla, joita teillä jo on: asiakastunnus, aikaisemmin tunnettu sähköpostiosoite tai lyhyt soittokuntoutus. Vasta jos on epätietoisuutta siitä, kuka pyynnön tekee, lisävahvistus on perusteltua. Tietosuojaviranomainen ja EDPB-ohjeet käsittelevät tätä nimenomaisesti, koska tämä on kohta, jossa organisaatiot useimmiten ylikompensoivat. Kiinteä menettelytapa henkilöllisyyden vahvistamiseksi, jonka määritätte kerran ja toistatte sitten, estää joutumasta keksimään tätä uudelleen joka kerta.
Mitä muuta kuuluu asiakirjajoukkooon
Henkilöllisyyden vahvistamisen lisäksi asiakirjajoukossa tulee olla yhteenveto itse käsitellyistä tiedoista: mistä ne tulevat, kenen kanssa ne on jaettu, ja kuinka kauan ne ovat olleet teillä. Tämä yhteenveto otetaan käytännössä käsittelyn rekisteristänne, jos se on kunnossa. Ilman rekisteriä joutuu hakemaan tämän manuaalisesti järjestelmistänne jokaisen pyynnön kohdalla, mikä vie enemmän aikaa ja lisää epätäydellisen vastauksen mahdollisuutta. Tietosuojaviranomainen ja EDPB-ohjeet käsittelevät tätä nimenomaisesti, koska tämä on kohta, jossa organisaatiot useimmiten ylikompensoivat. Kiinteä menettelytapa henkilöllisyyden vahvistamiseksi, jonka määritätte kerran ja toistatte sitten, estää joutumasta keksimään tätä uudelleen joka kerta. Ilman rekisteriä joutuu hakemaan tämän manuaalisesti järjestelmistänne jokaisen pyynnön kohdalla, mikä vie enemmän aikaa ja lisää epätäydellisen vastauksen mahdollisuutta. Tietokannan avulla löydät tilannekohtaisesti selitetyt täydelliset vastaukset.
Poistamispyynnön yhteydessä liittyy ylimääräinen asiakirja: arviointi siitä, onko olemassa laillinen säilyttämisvelvollisuus, joka estää poistamisen (väliaikaisesti), esimerkiksi verotietojen osalta. Tämän arvioinnin kirjataan kirjallisesti, vaikka johtopäätös olisi, että et poista (täysin). Tämä asiakirja on yhtä tärkeä kuin poistaminen itse, koska se osoittaa, että tehty on tietoinen päätös eikä unohdettu pyyntö.
Miksi tämä liittyy rekisteriinne ja työkaluihinne
Pyynnöllä tietojen saamisesta tai poistamisesta on harvoin vaikutusta vain yhteen järjestelmään. Asiakastiedot sijaitsevat usein samanaikaisesti CRM-järjestelmässä, kirjanpito-ohjelmistossa ja sähköpostiohjelmassa, ja kussakin näistä on kysymys siitä, onko ja kuinka kauan poistaminen mahdollista. Jos olet etukäteen kartoittanut, mitkä SaaS-työkalut sisältävät mitkä tiedot, sinun ei tarvitse selvittää sitä jokaisen pyynnön yhteydessä uudelleen. Voit tarkistaa, vastaavako asetuksesi sitä, mitä asetus edellyttää, kautta selitykset tietosuojasta ja tietoturvasta.
Myös päätös itsessään on asiakirja: lyhyt kirje tai sähköposti, jossa kerrotaan, mitä pyydettiin, mitä teit, ja missä ajassa. Tämä määräaika on määritelty asetuksessa ja alkaa vastaanottamishetkestä, ei siitä hetkestä, jolloin sinulla on aikaa siihen ryhtyä. Usein esitettyjen kysymysten yleiskatsaus näistä määräajoista ja poikkeuksista löytyy kohdasta usein kysytyt kysymykset rekisteröidyn pyynnöistä.
Dokumentointi kannattaa myös käsittelyn jälkeen
Pyynnön yhteydessä kokoamasi asiakirjakokonaisuus ei ole tarkoitettu vain siihen yhteen hetkeen. Se osoittaa myös, jos valvontaviranomainen tai rekisteröity henkilö itse myöhemmin sitä pyytää, että pyyntö on tunnistettu, arvioitu ja käsitelty asetetun määräajan sisällä. Se, kattaako nykyinen menettelysi jo tämän, on asia, jonka käsittely kannattaa tehdä parhaiten oikeustieteilijän kanssa tai Tietosuojaviranomaiseen ottamalla yhteyttä, jos epäilet tiettävää tilannetta.
Haluatko muutamassa minuutissa nähdä, miten tämä konkretisoituu yrityksellesi ilman, että sinun täytyy ensin selvittää kaikkea itse? Tee ilmainen pika-arviointi tai aloita yritystili hallitaksesi rekisteriäsi ja pyyntöjäsi selkeästi.