Osoba koja traži pristup, ispravku ili brisanje svojih podataka ima pravo na odgovor u roku od mjesec dana od primitka zahtjeva. To je glavno pravilo prema GDPR-u. Ako je zahtjev kompliciran ili primite više zahtjeva istovremeno, uredba omogućava produljenje tog roka za maksimalno dva mjeseca — pod uvjetom da betrokkenu obavijestite o tome u prvom mjesecu i obrazložite razlog.
U praksi je zakonski rok rijetko problem. Gdje se tvrtke zaglave je postupak prije toga: utvrditi tko točno traži koje podatke, pronaći u kojim sustavima se ti podaci nalaze i procijeniti postoje li iznimke prije nego što što izbrišete ili dostavite. Tko taj postupak nije unaprijed organizirao, primjećuje da sat krene već tjedan dana prije nego što se u tvrtki netko interno bavi zahtjevom.
Kada počinje rok biti aktivan
Rok počinje od trenutka kada zahtjev stigne do vas, a ne od trenutka kada ga sadržajno počnete obrađivati. Zahtjev putem e-maila na opću adresu, preko recepcije ili pojedinačnom zaposleniku podjednako se računa. To znači da se tvrtka kod koje se takve poruke ne prosljeđuju brzo odgovarajućoj osobi gubi vrijeme koje se više ne može nadoknaditi. Tko točno zna što je validan zahtjev i gdje treba doći, na ovom mjestu pobjeđuje u prvim i najvažnijim danima.
Što produljenje znači u praksi
Mogućnost produljenja nije dozvola da čekate dok vam odgovara. GDPR produljenje veže uz složenost samog zahtjeva — primjerice zato što su podaci raspršeni po nekoliko sustava ili godina, ili zato što prvo mora biti utvrđeno je li dostava podataka vezana uz prava drugih osoba. Zahtjev koji je jednostavno odložen ne spada u to. Nadzorni organi i sudovi gledaju prirodu zahtjeva, a ne opterećenost slučaja.
Gdje rok u praksi propadne
Tri točke se stalno vraćaju. Prvo, provjera identiteta: trebate razumno biti sigurni da dostavljate podatke osobi koja je vezana uz njih, bez traženja nepotrebno puno dodatnih informacija. Drugo, raspršenost podataka po različitim SaaS-alatima — CRM, računovodstveni paket, e-mail program — što znači da jedan zahtjev brzo dotakne više mjesta odjednom. Treće, pitanje jesu li podaci koji su zapravo trebali biti izbrisani negdje još u sigurnosnoj kopiji ili staroj datoteci. Potonje je usko povezano s rokom čuvanja koji nije jasno odrećen.
Tvrtka koja unaprijed zna koje osobne podatke gdje obrađuje, ne mora pri zahtjevu dalje tražiti nego može odmah pogledati. To je upravo razlog zašto je aktualni registar aktivnosti obrade više od formalnosti: to je referentni rad s kojim zahtjev riješite u roku umjesto da ga tražite. U bazi znanja teme su objašnjene prema situaciji, uključujući mjesto u zvaničnom tekstu.
Što sami možete učiniti da ostanete u roku
Odredite tko prepoznaje zahtjev i gdje ide. Pazite da bude jasno koji su podaci u kojem alatu, tako da ne trebate pri svakom zahtjevu ponovno tražiti gdje trebate tražiti. I unaprijed postavite rutinu za provjeru identiteta, tako da se ne smisla ad hoc u trenutku kada sat već teče. Tko je nesvjestan je li određeni zahtjev pod glavnim pravilom ili produljenja, može to najbolje predstaviti pravniku ili provjeriti kod Autoriteteta za zaštitu podataka.
Je li neki događaj vezano uz podatke obavijestit, drugačko je pitanje od roka za zahtjev osobe — za to vrijede druga pravila i kraći sat. Ako ste nesvjesni spada li što u tu kategoriju, tada to u nekoliko pitanja s indikacijom možete provjeriti. Kako gdpria.eu rokove, šablone i podsjetiti po obvezi veže uz vaš vlastiti registar, čitate na stranica koja objašnjava odakle dolaze informacije.
Želite li znati kako vaša tvrtka trenutno stoji, bez dodatnih troškova? Napravite besplatnu brzu procjenu ili pročitajte teme koje se čine najrelevantnije za vašu situaciju putem često postavljana pitanja o zahtjevima osoba na koje se podaci odnose.