Fyzická osoba, ktorá požiada o prístup, opravu alebo vymazanie svojich údajov, má právo na odpoveď do jedného mesiaca od prijatia žiadosti. Toto je hlavné pravidlo podľa GDPR. Ak ide o zložitú žiadosť alebo ak dostanete niekoľko žiadostí naraz, nariadenie umožňuje predĺžiť túto lehotu o najviac dva mesiace — len ak informujete dotyčnú osobu v priebehu prvého mesiaca a vysvetlíte, prečo.
V praxi sa zákonná lehota vzácne stáva problémom. Kde sa podniky zasekávajú, je predchádzajúci proces: určiť, kto presne o aké údaje prosí, zistiť, v ktorých systémoch sa tieto údaje nachádzajú, a posúdiť, či sa uplatňujú výnimky skôr, ako niečo vymažete alebo poskytnutete. Kto tento proces vopred nenariadil, zistí, že hodiny už bežia týždeň predtým, ako sa na žiadosť pozrie niekto z firmy.
Kedy začína lehotou bežať
Lehota začína v momente, keď vám žiadosť dorazí, nie v momente, keď ju obsahovo riešite. Žiadosť zaslá e-mailom na všeobecnú adresu, cez recepcií alebo jednotlivému pracovníkovi sa počítajú rovnako. To znamená, že podnik, kde sa takéto správy rýchlo nešíria správnej osobe, strácajú čas, ktorý sa už nevrátia. Kto presne vie, čo je platná žiadosť a kde má doraziť, tu vyhrá prvé a najdôležitejšie dni.
Čo predĺženie v praxi znamená
Možnosť predĺženia nie je voľný lístok na čakanie, kým sa vám to hodí. GDPR viazne predĺženie na zložitosť samotnej žiadosti — napríklad pretože údaje sú rozptýlené medzi viacerými systémami alebo rokmi, alebo pretože sa musí najprv zistiť, či poskytnutie údajov neovplyvní práva iných osôb. Žiadosť, ktorá jednoducho zostala ležať, do tejto kategórie nespadá. Dozorovatelia a sudcovia sa pozerajú na povahu žiadosti, nie na zaťaženosť veci.
Kde sa čas na preskúmanie v praxi líši
Tri body sa stále vracia. Po prvé overenie totožnosti: musíte si byť primerane istí, že údaje poskytujete osobe, ktorú sa to týka, bez toho, aby ste si zbytočne vyžiadali príliš veľa ďalších informácií. Po druhé rozdelenie údajov medzi rôzne SaaS-nástroje — CRM, účtovný balík, e-mailový program — čo znamená, že jedna žiadosť rýchlo zasahuje do niekoľkých miest naraz. Po tretie otázka, či sa údaje, ktoré už mali byť vymazané, stále nenachádzajú v zálohe alebo v starom súbore. Toto posledné úzko súvisí s lehoty na uchovávanie údajov, ktoré nie sú jasne stanovené.
Podnik, ktorý vopred vie, aké osobné údaje kde spracúva, nemusí pri žiadosti hľadať, ale môže sa hneď pozrieť. To je presne dôvod, prečo je aktuálny register spracovateľských činností viac ako formalita: je to referenčná príručka, s ktorou vyriešite žiadosť v lehote namiesto toho, aby ste sa ju snažili nájsť. V poznanej banke sú témy vysvetlené na situáciu, vrátane umiestnenia v oficiálnom texte.
Čo sami môžete urobiť, aby ste zostali v lehote
Stanovte, kto pozná žiadosť a kam ide. Uistite sa, že je jasné, ktoré údaje sú v ktorom nástroji, aby ste pri každej žiadosti nemuseli znova zisťovať, kde musíte hľadať. A stanovte si predpokladám rutinu na overenie totožnosti, aby sa nevymýšľala ad hoc v momente, keď sa hodiny už pohybujú. Ak si nie ste istí, či konkrétna žiadosť spadá pod hlavné pravidlo alebo pod predĺženie, je najlepšie to predložiť právnikovi alebo skontrolovať u Úradu na ochranu osobných údajov.
To, či je udalosť týkajúca sa údajov oznamovacia, je iná otázka ako lehota na vyhovenie žiadosti fyzickej osoby — platia sa tu iné pravidlá a kratší čas. Ak si nie ste istí, či niečo spadá do tejto kategórie, môžete to skontrolovať v niekoľkých otázkach s indikáciou. Ako gdpria.eu prepája lehoty, šablóny a pripomienky na povinnosť s vaším vlastným registrom, čítajte sa na stránka, ktorá vysvetľuje, odkiaľ pochádzajú informácie.
Chcete vedieť, ako si je vaša spoločnosť v súčasnosti vedená bez toho, aby vám to hneď nič nestálo? Vykonajte bezplatnú rýchlu kontrolu alebo si prečítajte témy, ktoré sa vám zdajú najviac relevantné cez často kladené otázky týkajúce sa žiadostí od dotknutých osôb.