Quali documenti sono necessari per una richiesta di accesso o cancellazione?
Se qualcuno le chiede di accedere ai suoi dati o di cancellarli, avrà bisogno di diversi documenti per gestire correttamente la richiesta: una conferma di ricezione con data, un modo per verificare l'identità del richiedente, un elenco di ciò che effettivamente elabora su quella persona, una decisione scritta con motivazione, e eventualmente un avviso in cui estende il termine. Insieme, questi documenti formano il fascicolo con il quale può dimostrare cosa è stato richiesto e cosa ne ha fatto.
L'aspetto su cui c'è più incertezza non è l'elenco stesso ma il controllo d'identità. Chiedere troppo poco è un rischio perché potrebbe divulgare dati alla persona sbagliata; chiedere troppo è anch'esso un rischio, perché il Regolamento chiede appunto di non raccogliere più dati del necessario per verificare l'identità. Una copia completa di un documento d'identità non è di solito necessaria e inoltre introduce nuovi dati che deve proteggere e distruggere tempestivamente.
Verificare l'identità senza raccogliere dati eccessivi
In pratica, funziona spesso con i dati che già possiede: un numero cliente, un indirizzo di posta elettronica precedentemente noto, o una breve verifica telefonica. Solo se c'è dubbio su chi effettua la richiesta, una verifica supplementare è appropriata. L'Autorità per la protezione dei dati e le linee guida EDPB prestano esplicitamente attenzione a questo aspetto, proprio perché è il punto in cui le organizzazioni più spesso sovracompensano. Una procedura standardizzata per il controllo d'identità, che stabilisce una volta e poi ripete, le evita di dover reinventare ogni volta.
Cos'altro appartiene al fascicolo
Oltre al controllo d'identità, il fascicolo deve contenere un elenco dei dati elaborati stessi: da dove provengono, con chi sono stati condivisi, e da quanto tempo li ha. In pratica, ricava questo elenco dal suo registro delle attività di elaborazione, se è in ordine. Senza un registro, deve scoprire manualmente per ogni richiesta nei suoi sistemi, il che richiede più tempo e aumenta il rischio di una risposta incompleta. Nella guida, troverà spiegato per ogni situazione cosa significa una risposta completa.
Con una richiesta di cancellazione, viene aggiunto un ulteriore documento: la valutazione se esiste un obbligo legale di conservazione che ostacoli (temporaneamente) la cancellazione, ad esempio per i dati fiscali. Questa valutazione la documenta per iscritto, anche se il risultato è che non cancella (completamente). Questo documento è altrettanto importante della cancellazione stessa, perché dimostra che è stata presa una decisione consapevole e non è una richiesta dimenticata.
Come questo si collega al suo registro e ai suoi strumenti
Una richiesta di accesso o cancellazione raramente riguarda un solo sistema. I dati dei clienti si trovano spesso contemporaneamente in un CRM, in un software contabile e in un programma di posta elettronica, e per ognuno di questi si pone la questione se e per quanto tempo la cancellazione è possibile. Chi ha precedentemente identificato quali strumenti SaaS contengono quali dati non ha bisogno di scoprirlo di nuovo per ogni richiesta. Se le sue impostazioni si allineano con ciò che il Regolamento richiede, può verificarlo tramite la guida sulla privacy e la protezione dei dati.
Anche la decisione stessa è un documento: una breve lettera o e-mail che indica cosa è stato richiesto, cosa ha fatto, e entro quale termine. Questo termine è stabilito dal Regolamento e decorre dal momento della ricezione, non dal momento in cui trova il tempo di occuparsene. Un riepilogo delle domande frequenti su questi termini e sulle eccezioni si trova nella domande frequenti su richieste degli interessati.
Documentare conviene, anche dopo la conclusione
Il fascicolo che costituite in risposta a una richiesta non è destinato solo a quel momento specifico. Mostra anche, nel caso in cui un'autorità di controllo o l'interessato stesso lo richiedessero in seguito, che la richiesta è stata riconosciuta, valutata e gestita entro il termine stabilito. Se la vostra procedura attuale lo copra già è qualcosa che potete discutere al meglio con un avvocato o con l'Autorità per la protezione dei dati personali se avete dubbi su una situazione concreta.
Volete vedere in pochi minuti come questo si concretizza per la vostra azienda, senza dover prima scoprire tutto da soli? Fate la quick-scan gratuita oppure avviate un account aziendale per mantenere il vostro registro e le vostre richieste in ordine.