Koje dokumente trebate pri zahtjevu za pristup ili brisanje?
Kada vas netko traži da mu date pristup njegovim podacima ili da ih obriše, trebate nekoliko dokumenata kako biste taj zahtjev pažljivo obradili: potvrda primitka s datumom, način da utvrdite identitet zahtjevatelja, pregled onoga što zaista obrađujete o toj osobi, pismena odluka s obrazloženjem, te eventualno obavijest u kojoj produljujete rok. Zajedno ti dokumenti čine spis s kojim možete pokazati što je traženo i što ste s tim učinili.
Dio koji izaziva najviše nesigurnosti nije sama lista već provjera identiteta. Premalo pitanja je rizik jer tada možda date podatke krivoj osobi; premalo pitanja je također rizik, jer Uredba zapravo traži da ne tražite više podataka nego što je potrebno za utvrđivanje identiteta. Potpuna kopija isprave za identifikaciju za to obično nije potrebna i štoviše donosi nove podatke koje trebate štititi i blagovremeno uništiti.
Utvrđivanje identiteta bez dodatnih pitanja
U praksi se često radi s podacima koje već imate: broj klijenta, ranije poznata e-mail adresa ili kratka povratna poziva. Samo ako postoji sumnja tko je dao zahtjev, dodatna provjera ima smisla. Autoritet za zaštitu podataka i smjernice EDPB-a posebnu pažnju posvećuju ovome, upravo zato što je ovo točka gdje organizacije najčešće previše reagiraju. Ustaljena procedura za provjeru identiteta, koju jednom utvrdite pa kasnije ponavljate, čini da to ne trebate svaki put iznova izmišljati.
Što još trebalo biti u spisu
Uz provjeru identiteta, u spisu trebao biti pregled samih obrađenih podataka: odakle dolaze, s kim su podijeljeni i koliko dugo ih imate. Tu pregled u praksi preuzimate iz svog registra obrade, ako je on u redu. Bez registra morate to po zahtjevu ručno tražiti u svojim sustavima, što traje duže i veća je mogućnost nepotpunog odgovora. U bazi znanja objašnjeno je za svaku situaciju što potpun odgovor znači.
Pri zahtjevu za brisanje dolazi dodatni dokument: razmatranje jesu li zakonska obveza čuvanja koja (privremeno) onemogućuje brisanje, npr. pri fiskalnim podacima. To razmatranje bilježite pismeno, čak i ako je zaključak da ne brišete (potpuno). Taj dokument jednako je bitan kao samo brisanje, jer pokazuje da je donesena svjesna odluka i nije zaboravljen zahtjev.
Zašto je to povezano s vašim registrom i alatima
Zahtjev za pristup ili brisanje rijetko se odnosi na jedan sustav. Klijentski podaci često su u CRM-u, u računovodstvenom paketu i u e-mail programu istovremeno, a za svakog se postavlja pitanje može li i kako dugo je brisanje moguće. Tko je unaprijed mapirao koje SaaS-alate koju sadrže podatke, ne mora to po zahtjevu iznova otkriti. Odgovaraju li vaše postavke onome što Uredba traži, možete provjeriti preko objašnjenja o zaštiti privatnosti i sigurnosti podataka.
I sama odluka je dokument: kratak dopis ili e-mail u kojem je navedeno što je traženo, što ste učinili i unutar kojeg roka. Taj rok je fiksiran Uredbom i počinje teći od primitka, ne od trenutka kada vam dođe do obrade. Pregled čestih pitanja o tim rokovima i iznimkama nalazi se pri često postavljana pitanja o zahtjevima osoba podnositelja zahtjeva.
Bilježenje se isplati, čak i nakon obrade
Dosje koji gradite prilikom zahtjeva nije samo namijenjen za taj jedini trenutak. Pokazuje i to da nadleţni nadzorni organ ili sam dotični later pitaju, da je zahtjev priznat, procjenjen i obrađen unutar postavljenog roka. Je li vaš trenutni radni postupak to već pokriva, najbolje je razmotriti s pravnikom ili s Upravom za zaštitu podataka ako ste nesigurni u konkretnu situaciju.
Ţelite li u nekoliko minuta vidjeti kako se to konkretno primjenjuje na vašu tvrtku, bez da prvo sami trebate sve razmotriti? Izvršite besplatnu brzu analizu ili započnite poslovni račun kako biste jasno vodili svoj register i zahtjeve.