Za zahtjev za brisanje, poznat i kao pravo na zaboravljanje, GDPR daje rok od jednog mjeseca. Taj mjesec počinje teći od trenutka kada zahtjev primite, ne od trenutka kada prepoznate da se radi o službenom GDPR-zahtjevu. Ako je zahtjev kompliciran ili primite veći broj zahtjeva u kratkom vremenskom razdoblju, možete rok produžiti za dva mjeseca. To morate obavijestiti osjetljive osobe u prvi mjesec, sa objašnjenjem razloga za produženje.
U praksi je taj mjesec kraći nego što se čini. Zahtjev za brisanje često ne stigne kao formalni dokument, već kao e-poruka, telefonski poziv ili poruka preko obrasca za kontakt na web-mjestu. Do vremena kada ga neko u organizaciji prepozna kao GDPR-zahtjev i proslijedi odgovarajućoj osobi, vrijeme je već prošlo i ne računa se prema roku.
Što pokreće sat
Rok počinje teći od trenutka primitka, bez obzira na to preko kojeg kanala zahtjev stigne. To znači da zahtjev koji je stigao klijentskoj službi, prodavaču ili recepciji jednako pokreće sat kao zahtjev koji je stigao izravno uprava ili odjelu za ljudske resurse. Mnoga poduzeća tek kasnije saznaju da je poruka koja je ležala u inboxu tri tjedna bila zahtjev za brisanjem. Tko želi ograničiti to riziko, dobro je da u organizaciji jasno definiše kako se prepoznaje takva poruka i gdje mora odmah biti preusmjerena.
Gdje rok u praksi pada
Najveća kašnjenja ne nastaju pri odluci o brisanju, već pri pronalaženju svih mjesta gdje se podaci nalaze. Ime i e-adresa mogu se istovremeno pojaviti u CRM-sustavu, paketu za fakturiranje, listi za slanje pošte, sigurnosnoj kopiji i kod vanjske strane koja za vas obrađuje podatke, kao što je računovođa ili marketinški alat. Sva ta mjesta trebaju biti provjerena, a za svakog operatera koji obrada podatke u vaše ime, trebate provjeriti je li i kako provodi brisanje. Pregled koji alati sadržavaju koje podatke štedi puno traženja u tom procesu. U bazi znanja objašnjeno je po situaciji što GDPR od vas traži i na čemu se to temelji.
Drugi izvor kašnjenja je pitanje je li brisanje uopće relevantno. Ne vodi svaki zahtjev automatski do brisanja. Podaci koje trebate čuvati na temelju zakone obaveze, kao što su određeni dijelovi financijske dokumentacije ili personalnih dosijea u sklopu zakonskog roka čuvanja, nisu podložni obvezi brisanja dok ta obveza postoji. Također podaci koji su potrebni za utvrđivanje, vršenje ili potvrdu pravnog zahtjeva mogu biti iznimka. Koja se iznimka primjenjuje u određenom slučaju, organizacija sama trebala odlučiti, eventualno s pravnikom, a u slučaju sumnje Autoritet za zaštitu podataka može dati dodatno pojašnjenje.
Kada je produženje dozvoljeno, a kada nije
Produženje od dva mjeseca nije nešto što možete automatski primijeniti. GDPR to veže uz složenost zahtjeva ili broj zahtjeva koje trebate obraditi istovremeno. Jedan jednostavan zahtjev da se adresa ukloni s liste za slanje nije dovoljno kompliciran da se čini tri mjeseca. Zahtjev u kojem su podaci raspoređeni na nekoliko sustava i nekoliko godina može biti. Važno je da obavijestite osjetljive osobe u prvom mjesecu da produljujete rok i zašto; ako to ne učinite, izvorni rok od jednog mjeseca jednostavno nastavlja teći.
Praktično: čuvanje roka unutar dosiježnih granica
Većina kašnjenja može se izbjeći ako unaprijed znate gdje se podaci nalaze, umjesto da to svaki put iznova tražite. Fiksni pregled korištenih sustava, koji obraditelj koji podatke u njima obrađuje i koji su dogovori sa vanjskim stranama, čini razliku između zahtjeva koji se obraduje unutar tjedan dana i zahtjeva koji traje puni mjesec. Ako taj pregled pratite pomoću sustava koji nadzire rok sam, ne trebate se više oslanjati na kalendar. Više informacija o tome kako se takav pristup u praksi primjenjuje i gdje se informacije temelje, nalazi se na stranica koja objašnjava odakle dolaze informacije.
Zahtjevi za brisanje rijetko stižu u fiksnom trenutku, i upravo zato je lako da prvi dani roka ostanu neiskorišteni. Ako želite da rok počne teći čim zahtjev stigne, to možete putem poslovnog računa postaviti. Za slična pitanja o zahtjevima subjekta podataka postoji i pregled s kraćim odgovorima.
Niste li sigurni je li konkretan zahtjev koji vam stigne obuhvaćen obvezom brisanja, ili koja bi izuzeća mogla biti primjenjiva? To je procjena koja se razlikuje od situacije do situacije, i najbolje je da je razgovarate s pravnikom ili s Upravom za zaštitu podataka. Ako prvo želite brzo vidjeti gdje se nalazite, možete izvršiti besplatan brzi pregled ili proći kroz teme u bazi znanja.