Kratak odgovor
Sama prava se ove godine ne mijenjaju. Pravo na pristup, ispravak, brisanje, ograničenje, prigovor i prenosivost naveden je u samom GDPR-u, i taj tekst se ne prepisuje godišnje. Ono što se pomjera je način na koji ta zahtjeva dolaze do poduzeća i kako nadzorni organi i europski nadzornici za zaštitu podataka (EDPB) o tome daju objašnjenja. Za direktora ili HR-menadžera to čini razliku u praksi, iako se ništa ne mijenja u zakonskom tekstu.
To ne znači da ne trebate ništa pratiti. Smjernice Agencije za zaštitu podataka i EDPB-a se redovito dopunjavaju, primjerice o tome kako potvrđujete identitet osobnog zahtjeva ili kako postupate sa zahtjevom koji dođe putem chat-funkcije ili društvenih mreža. Ta pojašnjenja nisu novi zakon, ali su preciznija ispunjavanja postojeće obveze.
Što se u samom zakonu ne mijenja
Jezgra ostaje nepromijenjena: osoba može pitati koje njegove podatke obrađujete, može zatražiti ispravljanje netačnih podataka, a pod određenim uvjetima može zatražiti brisanje. Rok u kojem trebate odgovoriti određen je u samom GDPR-u i nije predmet godišnje revizije. Poduzeća koja misle da je ove godine uveden novi, kraći ili duži rok odgovora, vjerojatno ga brkaju s internim dogovorima ili s informacijama koje se ne odnose na sam zakonski tekst.
Također, iznimni razlozi, kao što je pravna obveza čuvanja podataka koja sprječava brisanje, ostaju nepromijenjeni. Ono što se može pomjeriti je kako strogo nadzorni organi te iznimke tumače u svojim smjernicama. To nije izmjena zakona, ali može značiti da obrazloženje koje je prošle godine bilo dovoljno, ove godine mora biti preciznije zabilježeno.
Što se ove godine pomjera
Tri razvoja su relevantni za mala i srednja poduzeća, bez da je sam zakon prilagođen. Prvo, zahtjevi sve češće dolaze digitalno, putem kontaktnog obrasca, chatbota ili odgovora na društvenim mrežama, umjesto po pošti. To ne mijenja obvezu, već utječe na pitanje prepoznaje li se zahtjev kao formalni zahtjev i dolazi li na vrijeme do odgovarajuće osobe u organizaciji.
Drugo, raste pažnja na zahtjeve koji se odnose na automatizirane obrade, primjerice kada su podaci korišteni za izgradnju profila ili je AI-aplikacija dala ulaz za odluku. EDPB redovito elaborira na tu temu. Poduzeća koja koriste AI-alate za kontakt s kupcima ili vrednovanje zaposlenika trebala bi znati koje podatke tam sadrže prije nego li zahtjev dođe. To se izravno tiče pitanja koja se postavljaju u vezi s GDPR-om i AI-alatima u praksi.
Treće, vodi se šira rasprava o evaluaciji GDPR-a kao cjeline, na europskoj razini. Pri tome se gleda mogu li se pravila za manje organizacije pojednostaviti, ali konkretne izmjene zakona trenutno nisu potvrđene. Ono što još nije potvrđeno, kao takvo ga i navodimo: nije poznat konačan datum ili sadržaj, i spekuliranje o tome poduzetnika dalje ne pomaže.
Za koje je to važno
Ti pomaci pogotovo su relevantni za organizacije koje imaju mnogo trenutaka kontakta s kupcima ili zaposlenicima: ured s odjeljkom za uslugu kupcima, instalacijska tvrtka s obrascem za ponudu na web-mjestu ili HR-odjeljenje koji obrađuje podatke kandidata. Što je više kanala preko kojih se može kontaktirati, veća je mogućnost da zahtjev negdje dođe bez da ga netko prepozna kao formalni GDPR-zahtjev. To nije pravni rizik koji procjenjujemo ovdje, već praktična točka koju je vrijedno razmotriti interno.
Također je relevantna vaša veza s ugovorima o obradi podataka: ako klijen podnese zahtjev kod vas, ali se podaci nalaze kod vanjskog dobavljača SaaS-a, taj dobavljač mora biti u mogućnosti sudjelovati u pristupu ili brisanju podataka. Možete provjeriti je li to dobro regulirano ugovorom putem često postavljenih pitanja o ugovorima o obradi podataka i SaaS alatima.
Kako to pratiti bez da trebate svaki put iznova rješavati
Budući da je tekst zakona stabilan, ali se njegova interpretacija mijenja, posebno je važno znati odakle dolazi trenutno stanje i kada se mijenja. gdpria.eu povezuje svaku temu s izvorom u UREDBI i s uputama EDPB-a i Ureda za zaštitu podataka, tako da ne trebate sami pratiti je li nešto promijenjeno. U slučaju sumnje na povredu zaštite podataka, na primjer, prvo možete u nekoliko pitanja provjeriti gdje stojite, prije nego što poduzmu daljnje korake.
Trebate li znati kako se ovakve informacije prate i odakle dolazi navođenje izvora? Izvedite besplatnu brzu procjenu ili pregledajte teme u bazi znanja i sami odlučite trebate li sljedeći korak.