L'errore più comune nella gestione di una richiesta da parte di un interessato non risiede nel termine entro cui rispondete, ma nel contenuto della vostra risposta. Le aziende spesso inviano o troppi pochi dati in risposta a una richiesta di accesso, oppure cancellano dati che avrebbero effettivamente dovuto conservare in risposta a una richiesta di cancellazione. Entrambi gli errori si verificano perché la richiesta viene trattata come un'unica azione semplice, mentre in realtà occorre prima rispondere a una serie di domande.
Il nocciolo dell'errore è questo: una richiesta di accesso o cancellazione richiede una valutazione per ogni dato, non un pulsante che azionate. Chi cancella un fascicolo completo del personale perché un ex dipendente lo richiede, può facilmente cancellare dati che devono essere conservati sulla base di un altro obbligo legale, come i termini di conservazione fiscali o del diritto del lavoro. Chi in risposta a una richiesta di accesso invia solo un'esportazione da un unico sistema, spesso manca dati che si trovano altrove, ad esempio in un file Excel separato o nella casella di posta di un responsabile.
Perché questo errore si verifica così spesso
Il Regolamento (UE) 2016/679 conferisce agli interessati il diritto di accesso e, a determinate condizioni, il diritto di cancellazione. Entrambi i diritti non sono illimitati. Il diritto alla cancellazione non si applica, ad esempio, quando esiste un obbligo legale di conservazione, oppure quando i dati sono necessari per accertare, esercitare o difendere un diritto legale. Questa distinzione non si trova in una semplice lista di controllo, e questo rende difficile per qualcuno che lo gestisce per la prima volta.
Un secondo motivo è che i dati in un'azienda media spesso si trovano distribuiti: nel CRM, nella contabilità, nella posta elettronica, a volte in un'app di chat. Una richiesta viene spesso gestita da un unico sistema, mentre l'interessato ha diritto a un quadro completo. È proprio qui che un registro dei trattamenti aggiornato fa la differenza: se avete già documentato in anticipo quali sistemi contengono dati personali e di chi, non dovete scoprirlo sotto pressione di tempo nel momento in cui arriva una richiesta.
Il secondo errore: mancata verifica dell'identità
Oltre alla valutazione sostanziale, le cose spesso vanno male al primo step: stabilire chi effettua la richiesta. Una richiesta di accesso o cancellazione contiene spesso informazioni sensibili, e queste informazioni devono raggiungerle solo l'interessato. Gestire una richiesta troppo velocemente senza verificare l'identità può portare a divulgare dati di una persona alla persona sbagliata. Allo stesso tempo: un controllo d'identità inutilmente severo rallenta la gestione e può essere percepito come un ostacolo non proporzionato alla richiesta.
Come evitare questo errore
Il primo step è documentare correttamente la richiesta stessa: cosa viene esattamente chiesto, da chi, e in quale data è stata ricevuta. Da quel momento inizia il termine legale, e questo termine si applica indipendentemente dal fatto che la richiesta arrivi per posta elettronica, telefono o lettera.
Il secondo step è verificare in quali sistemi si trovano i dati di questa persona. Un registro dei trattamenti aggiornato accelera notevolmente questo processo, perché allora sapete già quali strumenti e fornitori trattano i dati di dipendenti o clienti. Chi non ha ancora centralizzato questo, può consultare banca di conoscenze con spiegazioni per ogni situazione cosa esattamente deve figurare in un registro prima che arrivi una richiesta.
Il terzo step è valutare per ogni dato se la cancellazione o la divulgazione è consentita, invece di gestire l'intero fascicolo in una sola volta. In caso di dubbio su un obbligo legale di conservazione contrapposto alla richiesta, è prudente ottenere qui una consulenza legale; l'autorità di controllo menziona questa distinzione nelle sue linee guida, ma l'esito dipende dalla situazione specifica.
Infine, è utile avere in anticipo un processo fisso per questo tipo di richieste, in modo che non venga reinventato ogni volta chi è responsabile di cosa. Le risposte alle domande più frequenti su questo argomento sono riunite in modo ordinato in raccolta di domande frequenti, e chi vuole vedere come gdpria.eu indica la fonte di ogni risposta, lo legge nella pagina spiegazione su come nasce l'informazione.
Un registro ben tenuto e un processo fisso non impediscono che arrivi una richiesta, ma che vada male sotto pressione di tempo. Chi preferisce risolvere questo strutturalmente invece di scoprire ogni volta di nuovo caso per caso, può orientarsi gratuitamente su un account aziendale e così mettere in ordine la panoramica per sistema e per richiesta.
Siete curiosi di vedere come si presenta la vostra situazione? La scansione rapida gratuita fornisce in poche domande una prima indicazione, senza bisogno di un account.